Windows站点搭建的3个致命安全断点

　　去年二月那场架，我到现在想起来还牙根发酸——业务方非要把Windows站点搭在公网，说“方便测试”，我原以为最多被扫描器扒拉两下，结果三天后防火墙日志直接刷屏，HTTP 500错误跟潮水似的，手机震得我手麻，泡面放桌上凉透了都没顾上吃。

　　第一个断点，是IIS默认配置。那天凌晨三点，我盯着日志里一阵一阵的“404.7”错误，突然反应过来——这他妈哪是404？分明是攻击者用畸形URL绕过URL重写，直接往根目录灌shell！我原以为IIS的“请求过滤”模块能扛住，结果发现业务方为了“兼容旧系统”，把所有规则都关了，连“禁止双点”都没开。等我去查的时候，站点根目录下已经多了三个.aspx文件，文件名全是乱码，可执行时间全是凌晨两点——那会儿我正趴桌上打盹儿呢。

　　业务方负责人当时还跟我犟：“我们测试环境一直这么用，没出过事啊！”我直接把日志甩他脸上：“测试环境有公网IP吗？有CC攻击吗？有扫描器每分钟扒你八百次吗？”他不说话了，低头玩手机，手机屏幕亮得刺眼——我后来才知道，他当时正在跟开发说“再给两天时间，别让运维卡进度”。

　　第二个断点，是SQL Server的SA空口令。这事儿更绝——业务方为了“方便远程管理”，把SA密码设成“123456”，还跟我说“反正内网访问，安全得很”。结果攻击者不知道从哪搞到了内网穿透工具，直接连进来，把存储过程改得面目全非。我查数据库日志的时候，手都在抖——整整两万条“DROP TABLE”记录，全是凌晨四点执行的，那会儿窗外天刚蒙蒙亮，我盯着屏幕上的红色错误，突然想起昨天晚饭吃的包子，现在胃里还泛酸。

　　最气人的是，攻击者还留了句话：“下次记得改密码。”我拿着日志去找业务方，他们居然说：“可能是测试脚本跑错了，你帮我们恢复下数据就行。”我差点把键盘砸了——恢复？两万条记录，你让我怎么恢复？后来还是靠备份，可备份是前天的，这两天的新数据全没了，业务方反过来怪我：“你怎么不提醒我们备份？”我盯着他，一字一顿：“我提醒过三次，你们说‘没时间’。”

文章配图，仅供参考

　　后来我妥协了，给他们开了3389，但限定了IP白名单。结果第二天，白名单里的IP全被扫了，攻击者像是知道我们加了限制，专门挑白名单里的IP试。我查日志的时候，发现有个IP连续试了三百次，每次间隔五秒——这他妈哪是人工？分明是脚本！我打电话给业务方，他们说：“可能是开发在测试，你别大惊小怪。”我直接挂了电话，心想：测试？测试需要每秒试一次？测试需要试三百次？

　　那阵子我熬了一整夜，眼睛布满血丝，泡面吃了一半就扔在桌上，手机一直在震，全是业务方的消息：“站点怎么又挂了？”“数据怎么没了？”“你到底会不会运维？”我盯着屏幕，突然想起刚入行时师傅说的话：“Windows站点搭公网，等于把家门钥匙挂在门把手上。”当时我还笑他太保守，现在才明白，他说的不是保守，是血泪。

　　后来站点还是关了，业务方闹了半个月，最后老板拍板：“安全第一，测试环境搬内网。”我原以为这事儿就这么过去了，结果上周，业务方又找我：“我们新项目要搭Windows站点，还是公网，你帮着弄下？”我盯着他，半天没说话——这帮人，是真不长记性啊。

　　下一步？我打算把防火墙日志导出来，做成PPT，下次业务方再提公网，我就直接甩他们脸上——优胜劣汰，不是我说了算，是攻击者说了算。可话说回来，这事儿真能防住吗？我盯着窗外，天又亮了，新的一天，新的扫描器，新的攻击者，新的麻烦——运维这行，真是熬人啊。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!