漏洞演练

凌晨两点，漏洞演练安全组长老赵在群里丢了张截图。漏洞演练一个登录接口的漏洞演练返回包里，多出一行从没见过的漏洞演练调试信息，里面带着数据库的漏洞演练表名。他打了三个字：“有问题。漏洞演练”

这是漏洞演练上周我们做漏洞演练时的事了。演练这东西，漏洞演练说白了就是漏洞演练自己人打自己人。红队负责找茬，漏洞演练蓝队负责挨打，漏洞演练谁也别装。漏洞演练老赵是漏洞演练蓝队队长，平时话不多，漏洞演练但眼睛毒。漏洞演练那行调试信息，普通用户根本看不到，只有请求头里带特定参数才会触发。红队显然摸到了什么。

我分在红队，任务是拿下一台内网服务器。第一天上午，我们对着登录接口试了十几轮，SQL注入被拦，弱口令没戏，验证码也换成了滑块。队友小周把请求包翻来覆去地看，突然说：“这个debug参数，文档里没写，但接口认。”

我们试了一下，传debug=1，返回包果然多了一堆东西。表名、字段名、甚至一条测试数据的手机号。小周吹了声口哨：“开发留的后门，忘了关。”

红队队长老陈没让我们直接拖库。他说：“先记下来，往深处走。”我们顺着这个口子，找到了一个上传接口。它校验了文件后缀，但没校验文件内容。传个.jpg，里面塞PHP代码，服务器照单全收。上传路径也能猜，/uploads/2024/06/，日期加文件名，规律得像公交时刻表。

下午三点，我们拿到了第一个webshell。权限不高，但能读配置文件。数据库密码是明文，写在config.php里。老陈看了一眼，说：“停，别碰生产库。截图存证，写报告。”

蓝队那边直到晚上才发现异常。老赵后来跟我说，他们查日志时看到一串奇怪的请求，时间集中在凌晨，IP是内网测试机。他骂了一句：“红队那帮人，真会挑时候。”

演练结束那天开复盘会。开发组的小李低着头，说那个debug参数是半年前排查线上问题时加的，后来忘了删。上传接口的校验逻辑是复制粘贴的，只改了后缀白名单，没加内容检测。老赵没发火，只问了一句：“如果今天不是我们打，是外面的人呢？”

没人接话。会议室里空调嗡嗡响，投影仪的光打在墙上，晃得人眼睛发酸。

我后来想，漏洞演练最值钱的地方，不是找出了几个洞。是它把“可能出事”这四个字，变成了一张截图、一段日志、一个凌晨两点的群消息。平时说安全重要，像喊口号。真被人摸进内网，哪怕只是演练，那种后背发凉的感觉，比任何培训都管用。

小李后来把那个debug参数删了，上传接口也重写了校验。老赵在群里发了张新截图，返回包里干干净净。他打了两个字：“收了。”

没人回。但我知道，下个月演练，红队还会来。蓝队也还会熬夜。这行就这样，洞永远补不完，但至少得知道，自己漏在哪。

本文地址：http://www.79wt.cn/news/72c1699911.html