上午十点十七分，网安位网办公室电话响了。大队我接起来，通知对方自称是漏洞市局网安大队的，语气平稳却带着不容置疑的网安位网正式：“你们单位官网存在多个高危漏洞，请立即排查。大队”

我愣了一下。通知网站是漏洞外包公司做的，去年刚验收，网安位网当时还拿了等保二级的大队测评报告。挂了电话，通知我打开电脑，漏洞登录服务器后台，网安位网先看访问日志。大队不看不知道，通知一看后背发凉——近半个月，每天凌晨三点左右，有来自境外IP的扫描记录，路径指向后台登录接口，尝试次数从几十次到上千次不等。外包公司做网站时，把后台地址设成了默认的/admin，密码还是初始的Admin@123。这等于把家门钥匙挂在门框上。

我赶紧给外包项目经理打电话。对方态度倒好，说马上安排工程师。可工程师远程连上来，捣鼓了半小时，给出的结论是“问题不大，改个密码，补个补丁就行”。我听着不对劲，网安大队通知的措辞是“高危漏洞”，不是“建议加固”。我又翻出他们当初交付的代码文档，发现网站用的框架版本是两年前的，官方早已发布安全更新，而他们的部署环境里，连基本的WAF都没装。

下午三点，网安大队的警官又打来电话，问处理进度。我说外包正在改。他沉默了几秒，说：“你们单位的网站是面向公众服务的，后台还有用户注册信息，如果被拖库，数据泄露的责任是要落到单位头上的。建议你们自查所有接口，尤其是文件上传和SQL查询的地方。”这句话点醒了我——我想到网站有个“在线留言”功能，上传附件的地方没做类型限制，理论上可以传可执行脚本。我让外包工程师当场测试，果然，传了个txt伪装成jpg的文件，居然成功了。

这已经不只是改密码能解决的事了。我向分管领导汇报，领导皱眉：“当初验收不是说没问题吗？”我无言以对。外包合同里写了“保证安全”，但验收时只测了功能，没做渗透测试。说白了，我们花钱买的是个能用的网站，不是个安全的网站。网安大队的提醒，等于是帮我们补了一堂代价高昂的课。

折腾到晚上八点，外包终于把框架升级了，密码改了，上传接口加了白名单校验。我让工程师把所有后台登录日志导出来，看到那些凌晨的扫描记录，心里一阵后怕——如果对方不是扫描而是直接攻击，以原来的防护水平，可能早就被拿下了。后来网安大队反馈，说他们监测到我们网站的异常流量，才主动通知的，算是运气好。

第二天我写了个报告，建议单位每年做一次第三方渗透测试，预算不多，但比出事后再补救划算。领导批了。这事过去两个月了，现在每次看到网站后台的登录提醒短信，我都会多看一眼。安全这种事，真不能全指望外包，自己心里得有根弦。