Windows站点搭建的3个致命安全断点
|
半年前接手个Windows站点，客户说之前被黑得连数据库都锁了三次——我原以为他们只是没开防火墙，结果翻日志才发现，这帮人连IIS的默认配置都没改过，连404页面都还在用微软自带的蓝底白字。那天下午我盯着屏幕上的校样，外卖凉了都没顾上吃，越看越觉得这活儿得加钱——不是钱的问题，是怕接了这锅，回头连行业群里都混不下去。 第一个断点在权限分配，这简直是个“祖传漏洞”。Windows站点搭建时，IIS默认用Network Service账户跑应用池，结果客户为了方便，直接把整个站点目录权限全开给了Everyone——连备份文件夹都没放过。我拿Process Monitor扫了半小时，发现连前台实习生都能用记事本改web.config。更离谱的是，他们连SQL Server的sa账户密码都没改，还是初始的“123456”，我试着用SQLCMD连了下，直接进了主库，当时手都在抖——这要是被扫站工具盯上，分分钟数据清空。 领导发来六十秒语音，说“客户急着上线，权限先这么着，后面再优化”。我回了个“行”，转头把日志里所有“401.2”错误码全标红——这他妈是权限拒绝的典型代码，结果客户说“我们测试没报错啊”。后来才知道，他们测试用的账号是管理员，自然没权限问题。我敢打包票，这站点活不过三个月就会被黑，但客户说“我们之前用Linux也没出过事”，我差点没把键盘砸了——Linux和Windows的权限模型能一样吗？ 第二个断点是补丁管理，这简直是“时间炸弹”。客户用的是Windows Server 2016，结果系统补丁只打到2022年3月，IIS的补丁更离谱，连2021年的CVE-2021-26855都没补——这是那个能远程执行代码的漏洞，微软当时紧急发了补丁，结果他们说“补丁会影响性能，没打”。我翻了下他们的监控，CPU使用率就没超过30%，这性能焦虑从哪来的？更搞笑的是，他们连.NET Framework的补丁都没打，我拿nmap扫了下，443端口直接报“Microsoft IIS/10.0 (unpatched)”，这跟在脑门上写“来黑我”有什么区别？ 审稿间的灯突然灭了，我摸黑把U盘插到客户电脑上，继续翻补丁日志。发现他们连Windows Defender都没开，说是“影响开发效率”——我查了下，他们所谓的“开发”就是改改CSS，连C#都没碰过。我原以为他们至少会用个第三方杀毒软件，结果连火绒都没装，整个系统裸奔了两年。后来我偷偷开了Defender，结果第二天客户说“电脑变卡了”，我一看日志，好家伙，Defender扫出来17个木马，其中3个是后门程序。
文章配图，仅供参考 第三个断点是日志管理，这简直是“盲人摸象”。客户的IIS日志只保留7天，还是默认的W3C格式，连字段都没改过。我拿Log Parser扫了下，发现90%的404错误都是因为“/wp-admin”这种WordPress路径——这站点根本没用WordPress，明显是有人在扫漏洞。更离谱的是，他们连SQL Server的错误日志都没开，我问“怎么排查数据库问题”，客户说“我们用Navicat连，看报错就行”——我差点没笑出声，Navicat能看到的错误连IIS日志的十分之一都不到。后来我强行开了SQL Server的日志，结果第一天就抓到个“sa”账户的暴力破解，IP是俄罗斯的，客户说“可能是我们员工在测试”，我直接把日志甩他脸上，他才闭嘴。印刷对接的电话突然打进来，说“客户要加急印手册，但标题被打回三次了”。我挂了电话，继续翻客户的备份策略——结果发现他们连备份都没做，数据库是手动导出的，站点文件是直接复制到U盘的。我问“要是服务器炸了怎么办”，客户说“我们还有台老机器，可以恢复”——我查了下，那台“老机器”是Windows Server 2008，已经停止支持五年了，连补丁都打不了。我建议他们用Azure Backup，客户说“太贵了，我们自己弄”——我敢说，这站点要是被勒索软件盯上，他们连数据都赎不回来。 现在这站点还在跑，但我已经不接他们电话了——不是不想帮，是怕帮了反而背锅。Windows站点搭建的这三个断点，说白了就是“懒”“省”“蒙”：懒得改配置，省得打补丁，蒙着过日子。优胜劣汰的道理在这行特别明显，那些连权限、补丁、日志都不管的站点，迟早会被黑得连底裤都不剩。我原以为客户会懂，结果他们说“我们之前用Linux也没出过事”——得，这锅我不背，谁爱接谁接。 （编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
