网站出现漏洞
凌晨两点十七分，网站监控面板上跳出一条红色告警。出现我揉了揉眼睛，漏洞以为看错了——某个后台接口的网站请求量在十分钟内暴涨了四百倍。点开日志，出现密密麻麻的漏洞IP地址像潮水一样涌进来，来自巴西、网站越南、出现俄罗斯，漏洞甚至还有一个来自南极科考站的网站IP。谁会在南极攻击网站？出现后来查出来是个伪造地址，但这已经不重要了。漏洞
漏洞出在一个三年前写的网站上传功能上。当时为了赶项目进度，出现我偷了个懒，漏洞没有校验文件类型，只检查了扩展名。攻击者上传了一个伪装成.jpg的PHP文件，服务器直接执行了。就这么简单。那天晚上我盯着屏幕，看着那个文件被反复调用，像一只蟑螂在厨房里繁殖，每一秒都有新的请求进来，都在尝试读取数据库里的用户信息。
我第一反应是拔网线。但网站还在线上跑着，几十个客户正在使用。手指悬在关机键上方，犹豫了大概五秒钟——这五秒里，又有几千条请求涌了进来。最后我选择先把那个上传接口的目录权限改成只读，然后手动删掉那个恶意文件。操作完成时，手心全是汗，键盘上留下了湿漉漉的指纹。
事后复盘时发现，攻击者其实早在三天前就摸到了这个漏洞。日志显示他先上传了一个无害的测试文件，确认能执行后，才开始大规模利用。这让我想起小时候看过的盗窃电影——真正的贼会先踩点，观察主人作息，再动手。而我这边的安全监控，居然连续三天都没有发现异常文件出现在服务器上。监控系统报警阈值设得太高了，一个文件上传成功根本不会触发任何告警。
修复过程比想象中复杂。不止要加上文件类型校验，还得处理历史遗留的恶意文件。扫描全盘时，在另一个目录里又发现两个后门程序，应该是同一次攻击留下的。删除它们的时候，我注意到其中一个文件的创建时间戳，恰好是我上周三午休出去吃饭那半个小时。如果我那天没去那家新开的拉面馆，是不是就能更早发现？这种想法很蠢，但忍不住会想。
第二天早上，我给客户发了道歉邮件，措辞改了六遍。技术细节写多了怕他们看不懂，写少了又显得不专业。最后只写了“发现并修复了一个潜在安全风险，您的数据未受影响”，然后附上了系统升级计划。邮件发出去后，有个客户回了三个字：“辛苦了。”另一个客户打电话来，语气很冲，质问我为什么网站昨天半夜卡了五分钟。
这次事件让我养成了一个习惯：每次写完上传功能，都会故意传一个带恶意代码的文件试试。同事说我这是被害妄想，我倒觉得，漏洞就像家里没锁好的窗户，你不亲自推一推，永远不知道它是不是真的关严了。现在我的电脑桌面背景上贴着一行字：所有输入都是不可信的。丑是丑了点，但比出事之后再后悔强。