系统漏洞评估 知乎：别把扫描报告当免死金牌

上周帮朋友公司看安全报告，系统他们花大价钱请第三方做了渗透测试，漏洞结论是评估“低风险”。我随手翻了翻原始数据，知乎发现测试方只测了三个IP段，系统而他们实际暴露在公网的漏洞资产有十一个段。这种故事在知乎上天天有人问：“为什么我们扫描全绿，评估还是知乎被勒索了？”答案很简单——你评估的漏洞，和攻击者利用的系统漏洞，根本不是漏洞同一张地图。

漏洞评估最坑人的评估地方在于“静态思维”。扫描器跑一遍，知乎CVSS打分，系统高中低排列，漏洞然后安全团队照着清单打补丁。评估可现实是，攻击者根本不看CVSS，他们看的是业务逻辑。比如某个上传接口，扫描器说“无已知漏洞”，但稍微改一下文件名格式就能绕过白名单，这算谁的锅？去年某大厂的数据泄露，根源就是一个“低危”的越权接口，没人重视，结果被拖了库。工具只能告诉你“已知的未知”，真正的风险藏在“未知的未知”里。

再说说资产梳理。知乎上有个经典问题：“为什么我的防火墙日志全是扫描流量？”底下高赞回答一针见血——你连自己有多少台服务器都数不清，谈什么评估。我见过一家公司，IT部门说核心系统都在内网，结果某个员工私自开了个云主机跑测试数据库，密码还是“admin123”。这种影子资产，任何扫描器都扫不到，但攻击者用Shodan一搜就出来。漏洞评估的第一步不是跑工具，是去机房数设备，去财务部查云账单，去开发群里问“谁还挂着测试环境”。

评估报告的“时效性”也常被忽略。今天修完的高危漏洞，明天可能因为一次版本升级重新引入。更别提0day漏洞——你评估完的那天，可能正好是某个exploit公开的日子。所以别把报告当保险单，它更像体检单，只能反映你抽血那一刻的状态。我有个习惯，每季度做一次轻量级复测，重点看上次没修完的项和新增资产。别嫌麻烦，攻击者比你有耐心，他们可能已经在你内网躺了半年，就等你松懈。

还有个反直觉的点：漏洞评估要“重业务，轻技术”。金融系统最怕的不是SQL注入，而是业务规则漏洞——比如转账限额的校验逻辑。这类问题扫描器根本发现不了，得靠人肉走查代码，或者直接模拟业务攻击。我见过最离谱的案例，某电商平台的优惠券系统，逻辑漏洞让用户能无限叠加折扣，技术团队修了三次都没堵住，最后发现是状态机设计缺陷。这种评估，需要安全人员懂业务，而不是只会点鼠标。

最后说点扎心的。很多公司做评估是为了过等保或应付客户审计，报告写得漂亮就行。但真正的评估应该回答一个问题：“如果攻击者现在就开始打，多久能进核心系统？”我宁可看到一份列出“我们不知道有什么漏洞”的诚实报告，也不想看到一份全是“已修复”的完美清单。安全是个动态对抗的过程，别指望一次评估就高枕无忧。你唯一能做的，是让评估频率快过攻击者的变招速度，然后祈祷自己运气别太差——毕竟，运气也是安全能力的一部分。