90%服务器漏洞源于3类配置疏漏

　　凌晨三点十七分，告警声像指甲刮黑板——不是短信，是机房隔壁那个老式蜂鸣器，三年没换过电池，每次响都带点哑火的颤音。我扒拉掉键盘上那层薄灰，ssh 连上去手抖了两次才输对密码，第三次连上时，发现 /etc/ssh/sshd_config 里 PermitRootLogin 是 yes，而 PasswordAuthentication 居然也是 yes。就这俩开关，一个开，一个关，另一个半开不闭，像有人拿螺丝刀捅了两下又去泡面了。

　　我原以为是运维新来的实习生改的，结果查 git log，最后提交是 DBA 老陈——上周五下午四点二十一分，他改了主库密码策略后顺手“一并优化 SSH”，commit message 写的是“加固入口”。我盯着那行“# temporarily allow password auth for legacy jumpbox”看了十八秒，旁边监控屏蓝光一跳，CPU 突刺到 97%，但不是攻击流量，是某个 Python 脚本在疯狂重试 login，用 root+123456 扫了三百七十二条告警，全卡在 PAM 的 pam_faildelay 上，延时设成三秒，反而拖垮了整条 auth 链。空调嗡的一声压过告警，冷风从地板格栅斜着扑上来，扫我脚踝——我们机房那批格栅全是歪的，左边第三块松动，人一走过去就咔哒一声。

　　第二类，是 TLS 配置里的“兼容性慈悲”。上周六我帮后端查个双向 mTLS 掉链问题，翻 nginx.conf，ssl_protocols 好好写着 TLSv1.2 TLSv1.3，结果 ssl_ciphers 那一行末尾还挂着一个 `:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!SRP:!CAMELLIA` ——看着挺狠？可前面漏了个关键参数：`ssl_prefer_server_ciphers on;`。默认 off。于是 client hello 一发，服务端乖乖挑它最弱的那个 cipher，比如 ECDHE-RSA-AES128-SHA。这个我敢打包票：上周四下午两点，某家钱包的 iOS SDK 就是靠这个连上了我们的测试网节点，握手成功，密钥交换用的是 SHA-1 签名。我截图发群里，后端小张回了个“？”，DBA 老陈回了个“这算漏洞？”，老板没回——他手机响了一声没接，屏幕亮起来是钉钉头像，名字后带个红色“休假中”。

　　第三类最贱：日志和审计的“形式主义覆盖”。你 grep auditctl -l，一堆 -w /etc/passwd -p wa；-w /root/.ssh/authorized_keys -p wa，听着很全？但没人 check /var/log/audit/audit.log 的 disk_full_action。它默认是 syslog，不是 suspend。上周三晚上八点四十二分，磁盘写满，auditd 直接跪，后续三天所有提权行为都没进日志。连 root 切换 su -c 'id' 的记录都断了。而真正要命的不是没记录，是审计规则本身写错了：`-a always,exit -F arch=b64 -S execve -F uid!=1000`，看起来防非用户执行？但漏了 `-F auid!=-1`，所以 cron 启动的服务进程 auid 是 -1，execve 根本不捕获。这玩意儿写了五年，去年调休申请我填“因家庭原因需连续休五天”，HR 驳回说“系统判定为高峰期”。我说我休的是 3 月 17 号到 21 号，HR 说“您去年 3 月请过两天，今年已超配额”。我没再争，只是把那行 audit 规则删了，在自己机器上跑了个 python -c "import os; os.system('sh')" 测试，它真没报。

　　咖啡洒在工牌上了，褐色的圆斑刚好盖住我的员工编号前两位。工牌挂绳早断过一次，现在是用一根黑色扎带缠的，绕了三圈，打结处毛毛刺刺。我撕下便签纸，写了三行：“1. SSH 默认值别信，尤其老版本 openssh（

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!