多媒体服务器安全审计：90%漏洞源于3个被忽视配置

　　我原以为是蜘蛛池被盯上了。那天在下雨，阳台晾的三件衬衫全泡在积水里，隔壁装修的电钻声正一下一下凿着承重墙。群里老张发了个“????”表情包，配字：“收录掉了八成。”我点开站长工具——索引量曲线跟坐滑梯似的，前一天还稳在三百七十二个词，第二天直接断崖。快照停在二月三号，友链那边王胖子打电话来问：“你们站是不是挂马了？我这边反链检测报红色。”

文章配图，仅供参考

　　我就这么蹲在机房角落，用手机热点连进内网，翻半年前的部署记录。2025年2月那次升级，没人动核心代码，就改了三样东西：一个是HTTP头里删了X-Content-Type-Options；一个是把FFmpeg转码目录权限从755改成了777；还有一个是Nginx配置里把autoindex on开了——就为方便运维查缓存文件，结果漏关了。我敢打包票，这三个口子，一个比一个脆，像用火柴棍支着承重梁。

　　你猜怎么着？第一个头字段一关，Chrome和Edge就开始乱解析.js文件，某些带注释的播放器插件直接报MIME类型错误；第二个权限一放，爬虫顺手就把转码中间件里的temp/目录全抓走了，里头全是未脱敏的原始视频帧截图；第三个autoindex，等于把整个video/assets/下的缩略图、水印模板、字幕轨道XML全裸奔挂在路径树里——百度图片蜘蛛扫进去，当天就收录了两百多个带“/thumb/”的URL，全是错位预览图。这些页面没内容、无导航、零外链，纯粹是结构漏洞喂出来的幽灵页面。它们不导流，不转化，但占索引坑位，挤掉真实视频详情页的抓取预算。

　　王胖子后来把友链撤了。不是因为黑链，是他自己站最近也被打穿了。他说他那台老机器也是多媒体服务器，同样开了autoindex，只是加了密码保护——结果某天发现nginx.conf被人悄悄加了一行“auth_basic off;”，而修改时间戳显示是上次宝塔面板自动更新后十分钟。到底是哪次更新的事我说不准，但我知道他装宝塔之前，服务器三年没中过招。我盯着那段配置看了半分钟，窗外电钻突然歇了，楼道传来拖鞋踢踏声，我手一抖，差点把烟按进键盘缝隙里。

　　去年这时候帮人做站群，三十七台VPS全跑视频转码，其中一台被当成肉鸡发了三个月垃圾邮件。查到⭐️⭐️⭐️⭐️发现就因为那个运维小伙嫌sftp上传慢，在一台测试机上开了FTP明文登录，账号密码写在/root/.ftp，文件名还叫“password_for_ftp_test”。后来他删了文件，可root账户密码没换——攻击者靠历史SSH密钥残留直接登了进去。这事儿跟这次一样，都不是什么高危0day，全是“反正不会出事”的侥幸堆出来的烂摊子。优胜劣汰？真不是算法在淘汰你，是你自己把闸门拧松了，水一漫上来，最先泡坏的就是那些最该浮在水面的页面。

　　我前天在服务器上grep了一整夜“video/thumb”，结果发现有台旧节点的logrotate配置根本没生效，三年积累下来，access.log大到grep都要卡死。查的时候顺手看了眼时间，凌晨三点二十七分，空调外机滴答漏水，声音很响。群里老张又发了个新表情包，“????”，后面跟一句：“刚被投诉侵权，版权方说我们页面里嵌的视频源ID跟他们原始MD5对得上。”我盯着那行日志里的Referer，突然想起来——去年十月采集脚本调用过一次未授权API，只跑了一次，没留痕，也没补签。这个我敢打包票。

　　李姐今天又催了一次，说抖音小店后台要求必须提供官网视频资质页，链接一贴上去就404。我翻了下CDN缓存命中的URI，发现所有/video/开头的请求都被301重定向到了/video/v1/——可v1目录下只有三十七个文件，全是空JSON。而真正的视频页在/v2/里，连Nginx的location块都没覆盖到。这事谁干的？不知道。我只记得二月升级时有人提交过“兼容旧路由”的PR，merge备注写的是“临时跳转过渡”，但没人填Jira单，没人测闭环，更没人告诉搜索引擎这是个临时工棚。

　　现在桌面显示器右下角挂着两个窗口：左边是Chrome打开的site:xx.com video，右边是tail -f /var/log/nginx/access.log。我在等一条真实的爬虫User-Agent出现。等了十八分钟，来了一个Baiduspider，但只打了/v2/下的四个页面，其他三百多个/video/路径全是404。我点了点刷新键，屏幕右上角的时间跳到04:12，楼下收废品的老头开始吆喝，嗓门穿透六层楼板。我原以为要重写sitemap，结果发现robots.txt里早写了Disallow: /video/——可它挡不住已经收录的幽灵页，也拦不住人家顺着JS里埋的window.location.href偷偷摸进来的蜘蛛。

　　明天先把手上那批/video/thumb/.jpg的URL批量返回410试试。至于v2目录的权重能不能抢回来……算了，先去把阳台那三件湿衬衫收进来。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!