内容摘要：漏洞这东西，跟墙上的裂缝一样，不补，它只会越来越大。我见过太多系统因为一个小疏忽被攻破的案例。去年有个朋友的公司，数据库被人拖走了，原因说起来可笑——他们用的开源论坛软件有个已知的SQL注入漏洞，官方

漏洞这东西，何修跟墙上的补漏裂缝一样，不补，何修它只会越来越大。补漏我见过太多系统因为一个小疏忽被攻破的何修案例。去年有个朋友的补漏公司，数据库被人拖走了，何修原因说起来可笑——他们用的补漏开源论坛软件有个已知的SQL注入漏洞，官方半年前就发了补丁，何修没人管。补漏黑客就靠一个自动化扫描工具，何修像扫街一样扫到了他们。补漏 修补漏洞的何修第一步，不是补漏写代码，是何修承认有洞。很多人觉得“我们系统小，没人盯上”，这是最危险的想法。攻击者不挑食，自动化工具会扫遍全网，谁没打补丁谁就是猎物。你得先建立资产清单，搞清楚自己到底暴露了哪些服务、哪些版本、哪些端口。不知道有什么，谈何补什么？ 接下来是优先级问题。别想着一次性全补上，那不现实。你得按风险排个队。判断标准就两条：这个漏洞能不能被远程利用？利用之后能拿到什么权限？能远程打、又能拿到root或者管理员权限的，那是头号大敌，今天就必须处理。只能本地利用、权限又低的，可以排到下周。我见过有人花三天去修补一个需要物理接触服务器才能触发的漏洞，结果把最要紧的RCE漏洞晾在一边，这纯属本末倒置。 真正动手修的时候，最直接的办法是打补丁。官方出了补丁就赶紧上，别犹豫。但补丁不是万能的，有时候会跟现有业务冲突。上个月我调一个PHP站点，官方补丁一打，整个登录功能就崩了，原因是补丁改了会话处理逻辑。这时候你得有备用方案——临时加个WAF规则拦截攻击特征，或者手动改代码绕开问题点。补丁这东西，得测，但别测太久，测试环境跑一遍核心流程就上线，你拖一天，风险就多挂一天。 还有一类漏洞，没有现成补丁，得自己改代码。比如业务逻辑漏洞——订单金额可以篡改、越权看别人数据。这种得从代码层面堵住。修的时候记住一个原则：永远不要信任用户输入。所有参数都得校验，所有权限都得二次确认。我之前修过一个越权漏洞，就是接口里少了句判断当前用户ID和资源归属ID是否一致，加上就完事了。代码就一行，但漏了就是事故。 补完不是结束。你得验证，漏洞是不是真的堵上了。拿之前的攻击载荷再打一次，看还通不通。更靠谱的是搞个漏洞扫描器定期扫一遍，再请个渗透测试的人来模拟攻击。我见过最离谱的情况是，开发说修好了，结果测试一打，换个参数照样穿进去。原因是他只过滤了小写字母，没过滤大小写混合的变种。 最后说句实在话，修补漏洞是个持续的过程，不是一次性的活儿。系统在变，攻击手法也在变。今天堵上的洞，明天可能因为新功能又开了个口子。你得把修补当成日常习惯，跟刷牙一样。每周留出固定时间看看安全公告，有更新就评估、测试、上线。别嫌麻烦，真出了事，那才叫麻烦。