小程序服务器安全：端口管控与数据保护实战

　　小程序服务器安全：端口管控与数据保护实战——两个月之前，我接手一个微信生态内日活8.3万的教育类小程序，后端跑在腾讯云CVM上，Ubuntu 22.04 + Nginx + Node.js 18.17，但开放了22、23、8080、9001、3306五个非必要端口，其中3306直连MySQL且未设白名单。

　　扫出来第一波异常连接来自罗马尼亚IP段185.220.101.0/24，持续高频试探23端口（Telnet），而开发团队居然说“只是留着调试用”——这台服务器上线已超417天，从未关闭过Telnet服务，SSH密钥还混在/root/.bash_history里明文存着登录密码片段。更荒唐的是，他们把API密钥写死在Nginx配置的env指令里，reload一次Nginx，整个密钥就飘进进程环境变量，ps aux | grep nginx能直接grep出来。

　　我关掉23和9001端口，用ufw做了出入站规则，只放行443+80+22（限深圳办公区CIDR 202.96.128.0/21），并强制开启TCP Wrappers。但第二天监控告警：/var/log/auth.log出现37次失败ssh爆破，目标用户是test、admin、mysql——全是默认弱账户名。我临时加了一行iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set --name ssh --rsource；再加一行 -m recent --update --seconds 300 --hitcount 3 --name ssh --rsource -j DROP。五分钟后，攻击流量归零。

　　新技术确实快。

文章配图，仅供参考

　　但“快”不等于“稳”。上周我复盘时翻出三个月前的阿里云WAF日志，发现有个POST请求路径是/api/v2/submit?debug=true，参数里夹带了一段base64编码的SQL注入载荷：Y29tcGFueT0nMTIzJykgVVVJRD0nMjIyJyBBTkQgMS0xPTEnMTExJw==，解码后是company='123') UUID='222' AND 1-1='111'——它绕过了WAF的SQLi规则库，因为WAF没启用语义解析模式，只做正则匹配，而这段payload里用单引号闭合后立刻拼接UUID字段，触发了MySQL 8.0.22+的隐式类型转换漏洞。这个细节，全网教程里没一个提过——他们都在教怎么配WAF策略，没人告诉你MySQL 8.0.33在strict mode关闭时，对UUID字段的CAST处理会吃掉单引号后全部内容直到下一个空格或分号。

　　那个小程序上线第14天就被爬走2.8万条学生家长手机号，泄露源头不是API接口，是Nginx错误页面里泄露的X-Powered-By头，暴露了后端用的是Express 4.17.1，而这个版本存在原型污染漏洞CVE-2021-23343，攻击者靠发送{"__proto__":{"outputFunctionName":"a"}}就能劫持全局模板渲染函数。我们查了源码，根本没引用任何模板引擎，但node_modules里express-session间接依赖了debug模块，debug又依赖了ms，而ms里有行代码eval('module.exports = '+fn)……整条链路七层嵌套，没人审计过依赖树。

　　我试过用trivy扫描node_modules，它报了83个高危漏洞，但其中71个是devDependencies里的，线上根本不用。可问题在于：npm install --production不会删掉package-lock.json里已记录的dev依赖路径，而某些CI流程会把lock文件一起打包进Docker镜像——所以漏洞实际存在于生产容器里，只是没被调用而已。

　　小程序服务器安全：端口管控与数据保护实战

　　我现在每天手动check /proc/sys/net/ipv4/ip_forward是否为0，因为上周发现某台测试机被人开了iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080，变成透明代理中转点，流量峰值冲到23Mbps，却没触发云监控告警——原来腾讯云基础版安全组不支持按协议+端口+流量速率组合告警，只能告总带宽。

　　我承认自己没测过OpenResty + ModSecurity3.0+OWASP CRS4的实时语义阻断效果——手头只有三台测试机，得先保住线上那台扛住高考报名季的并发压力，暂时顾不上新方案压测。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!