多媒体服务器安全审计：90%漏洞源于3个配置盲区

　　去年二月，我蹲在客户机房里查日志，空调冷风直往后颈灌，手边那杯茶早凉透了——就为追一个ffmpeg转码模块的RCE，连带爆出后台API没关调试模式。运维小张蹲我旁边啃包子，油蹭到服务器面板上，我都没抬眼拦他。结果呢？三个配置项全没动过：HTTP头部泄露服务版本、SSL默认启用TLS1.0、FFmpeg参数白名单空着。他们问“这算高危？”我说“算，而且它不是孤例。”

　　一三年那会儿，我们还在城西租的旧楼里跑流媒体集群，机柜贴墙放，风扇是那种带铁网罩的轰鸣款，震得桌角三台戴尔显示器一起抖。老陈和我轮班盯监控屏，他总在凌晨三点叼根烟，烟灰掉进键盘缝里也不掸。那时审计就俩动作：扫端口、查目录遍历。记得有回发现RTSP服务开在公网21端口，还是明文登录，老陈拍大腿笑：“谁家多媒体服务器用FTP协议推流啊？”——可人家真就这么干了，还跑了半年。我原以为漏洞都是写死在代码里的，结果一七年重审这批老服务，八成问题出在nginx.conf里多加了一行proxy_set_header Host $host；，把内网域名直接暴露出去。当时没当回事，只改了配置，没留记录，更没跟开发同步。错就错在这儿：觉得配置是“临时补丁”，不是资产。

　　一七年换云平台那波，我们组搬进新工区，玻璃隔断亮得晃眼。阿哲负责容器化改造，天天在Slack上甩yaml文件，我盯着helm chart里那堆replicaCount发懵。有次他问我“insecure-registry要不要开”，我顺手回了个“先开着吧，测试环境嘛”。结果上线第三天，镜像仓库被拖走四百多个带数据库连接串的私有镜像——不是被黑，是配置里allow-nondns-registry: true配错了作用域，外网能直连内网registry。我删了那行，但没补日志审计规则，也没加准入检查。这事我记了两年，直到去年翻旧工单才看见自己写的“低风险，已规避”，后面跟个微笑emoji。现在想想，哪是规避，是把雷埋进下一轮迭代的土壤里。

　　二二年做等保三级复测，甲方要求提供“全链路安全配置基线”。我翻出七份不同厂商的SDK文档，光是HLS分片加密开关的名字就不统一：有的叫hls_encryption，有的叫enable_aes128，还有的藏在stream_profile.advanced.security.enable下面。那天下午我在茶水间撞见李薇，她正撕咖啡包纸，说：“你们测试还管参数名？开发不都该填对么？”我张了张嘴，没接话。她早不做测试了，现在在一家音视频SaaS公司管客户成功，上周还朋友圈发图：客户把推流地址当CDN用，开了3000并发不加鉴权——结果被刷成肉鸡反向打源站。这事跟她没关系，但她朋友圈底下评论里有三个是我认识的同行，全没点破。

文章配图，仅供参考

　　三个盲区，现在听上去老生常谈：一是服务暴露面没随架构缩容（比如微服务拆完，旧nginx监听还开着）；二是认证授权颗粒度没跟业务权限对齐（主播后台能删CDN节点，是因为configMap里混进了管理员token）；三是加密能力默认关闭且无告警（H.265编码器内置AES-GCM，但init时硬编码disable:true）。九成漏洞确实从这儿漏，但真正让它们活过三年的，从来不是工具没扫描到，是我们每次交接时，都说“这个配置先留着，下个版本清”。

　　前两天又去客户现场，电梯里遇到一个穿灰夹克的男人，侧脸很熟。我愣了一下，想起是五年前做过竞标的技术支持，后来他们公司黄了，听说老板卷了预付款跑路。他没认出我，低头刷手机，锁屏壁纸是张雪山照片，冷得扎眼。我摸了摸口袋里的U盘，里面存着最新版基线检查脚本，可里头还带着一七年那个没修完的bug——检测SSL/TLS版本时，会把“TLS 1.0 (disabled)”误判成启用状态。这事儿我知道，但没提。不是懒，是突然觉得：这套东西，我也拿不准还能干几年。

（编辑：均轻资讯网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!