如何防范网络漏洞

去年一个做电商的朋友半夜给我打电话，声音都在抖——网站后台被人注入了恶意脚本，范网三万条用户订单信息挂在暗网上叫卖。络漏他问我：“服务器密码设了十八位，何防怎么还能被黑？范网”我让他把代码发过来，翻到用户登录那块，络漏发现查询语句是何防这么写的：

典型的SQL注入漏洞。攻击者只要在用户名框里输入 ' OR '1'='1，范网密码随便填，络漏就能直接登录管理员账户。何防密码再长也没用——漏洞不在密码强度上，范网在代码逻辑里。络漏

这事让我意识到，何防大多数人把“网络安全”和“设个复杂密码”划等号，范网方向就偏了。络漏漏洞从来不长在密码框里，它藏在开发者写代码时的每一个偷懒瞬间。

说个更常见的。很多网站的文件上传功能，只检查了文件扩展名。你上传一个 shell.php.jpg，后端一看到 .jpg 就放行，但服务器配置如果没做严格解析，这个文件照样能被当作PHP执行。我见过一个政府网站就是这么被拿下的——攻击者传了个图片马，用中国菜刀连上去，整台服务器就姓“黑”了。

防范这类漏洞，光靠前端验证没用。前端JavaScript能被绕过，必须在后端做白名单校验，只允许特定类型，比如 image/jpeg、image/png，并且把上传目录的执行权限彻底关掉。

“我服务器装了防火墙，为什么还被入侵？”——因为防火墙管的是端口和流量，管不了你代码里的逻辑缺陷。

另一个重灾区是第三方组件。Log4j那个漏洞爆出来的时候，我连夜翻了手头六个项目的依赖列表，三个中招。你写业务代码可能很小心，但引用的开源库一旦有漏洞，等于自家大门钥匙被人配了一把。所以现在我的习惯是：新项目启动第一件事，不是写 Hello World，而是把依赖扫描工具配好，比如 OWASP Dependency-Check，每次构建自动跑一遍。

还有一类漏洞纯粹是配置疏忽。比如云服务器上的Redis，默认监听 0.0.0.0 且无密码。我扫过一批IP段，发现大量Redis端口直接暴露在公网，里面存着session、缓存甚至数据库密码。攻击者连上去 FLUSHALL 一下，业务直接瘫痪。改起来也简单——绑定 127.0.0.1，设个强密码，改默认端口。但就是有人不做。

那普通人或者小团队到底该怎么防？我的经验是分三层。

第一层是开发习惯。所有用户输入都不可信。别管是表单、URL参数还是HTTP头，拿到手先过滤。参数化查询是底线，别拼SQL字符串。输出到页面前做HTML实体编码，防XSS。这些不是高级技巧，是基本功。

第二层是工具兜底。装个WAF（Web应用防火墙）能挡掉大部分自动化扫描和常见攻击。但别依赖它——WAF规则是死的，攻击者绕过方法天天更新。定期用 sqlmap、nmap 扫自己的站，比等别人来扫强。

第三层是心态。别觉得“我这个小破站没人盯”。现在攻击都是全自动的，爬虫一天扫几百万个IP，逮到漏洞就利用。你不需要跑得比攻击者快，只需要比隔壁那个不修漏洞的站安全一点，攻击者就换目标了。

最后说个真事。有个客户被入侵后找我做应急响应，我问他日志在哪，他说没开。服务器上 /var/log/ 目录空空如也。没有日志，连攻击者怎么进来的都不知道，更别提修补了。所以，把日志打开，存到远程，定期看两眼。这可能是成本最低、回报最高的安全措施。

漏洞不会消失，但你可以让攻击者觉得你的站“性价比太低”，不值得花时间。