多媒体服务器安全审计：90%漏洞源于3个配置盲区

　　去年十二月份，我蹲在IDC机房里搞那个视频转码集群的渗透复测，空调坏了半边，吹热风那台嗡嗡震得我后槽牙发酸。小孟你记得不？就门户干了四年频道编辑、总在微信上甩我三秒语音说“这个封面图能不能压字再深一点”的小孟——那天她发来个链接，说运营要推个深夜观影专题，后台挂了三个小时播不了，我以为又是CDN缓存没刷，结果ssh进去一看，nginx.conf里proxy_pass硬编码写死了10.0.2.15:8080，连服务发现都没开，更别提TLS了。

　　我原以为是负载均衡策略冲突，结果把kubectl get pods -n media一跑，全挂了——不是Pod CrashLoopBackOff，是直接没调度进去。运维老张叼着根没点着的烟，敲了三下键盘又停住，说“哦，节点污点没加toleration”，转身去喝枸杞水。他保温杯盖子磕在机柜上，哐当一声，像敲我脑门。我盯着屏幕右下角时间：十八秒，十九秒……等它跳到二十一秒时，我抄起鼠标把/etc/nginx/conf.d/default.conf里那行include /etc/nginx/conf.d/.conf给注释掉了。

文章配图，仅供参考

　　90%漏洞源于3个配置盲区。这话我不解释，你也知道哪三个：SSL/TLS强制降级开关开着没人关；日志路径写成/var/log/nginx/access.log但logrotate没配轮转，上周五凌晨三点磁盘爆了；还有最绝的那个——ffmpeg调用全走system()，参数拼接里混着用户上传的原始文件名，连空格都不过滤。上季度末审计报告出来前夜，我们仨在机房啃盒饭，青椒炒肉，油浮在汤上打旋儿。安全组李工手机响了，是个女声问“您订的蛋糕下午送到编辑部吗”，他捂着听筒说“啊……送门口就行”，然后低头继续盯Wireshark里那段HTTP 400响应头里的X-Forwarded-For伪造链路。盒饭盖子掀开又扣上，三次。

　　优胜劣汰——不是人淘汰，是配置淘汰。你见过哪个上线三年没重启的nginx进程还活着？没有。活下来的全是每次发布前手动改两行conf、重启失败就回滚、第二天忘删debug log_level info的那几台。有个节点跑了七百零四天，最后挂是因为管理员把log_format里$remote_addr后面多打了个空格，导致access_log解析崩了syslog-ng。这个我敢打包票，我查过它的journalctl -u nginx --since "2023-03-17" ——第十八行报错，第七百零三行还是正常日志，第七百零四行就是空的。不是漏，是截断。日志轮转策略写的是size 100M，但实际跑出三百七十二兆才切，中间那块日志永远没落盘。

　　小孟后来给我发了个表情包，熊猫瘫在沙发上，配字“这稿子我再也不信产品经理了”。其实她该发给我看的是那天下午三点二十，她往CMS里传了个带单引号的视频标题：“《'暗涌'幕后花絮》”，后台Python脚本parse完title直接喂给subprocess.Popen([“ffmpeg”, “-i”, title + “.mp4”…])，单引号没转义，命令串起来变成ffmpeg -i '‘暗涌’幕后花絮’.mp4，shell当场吐了语法错误，FFmpeg根本没启动。但前端不报错，只静音播放十秒黑屏，然后跳404。这个我说不准是不是配置盲区——算不算？反正审计报告里把它划进“输入校验缺失”，归到了第三类里。

　　机房顶灯有一盏滋啦滋啦闪，从三点十五亮到四点零七，闪了整整五十二次。我没数，是李工数的，他数到三十七次时忽然笑了一声，说“这灯比咱们测试环境还稳定”。他旁边那台戴尔R730的风扇突然提速，呜——一下拔高，像被谁踩了脖子。我就想，为啥非得等到红蓝对抗的时候才让安全部翻出这些.conf？为什么每次都是专题页大促前两小时，才有人发现RTMP推流地址居然是http://而不是https://？

　　对了，那天雨特别大，机房窗外排水沟满了，水漫到UPS机柜底座下沿，泡着半截绿色PVC管。物业老赵拿拖把杵着水坑试深浅，拖把柄上有干掉的白漆印，估计是上个月刷墙留的。他没说话，但我看见他抬头看了眼监控探头——那个探头视角歪了十五度，拍不到机柜底部积水，只能拍到自己反光的金属外壳。我盯着那个反光看了四分钟，没动。直到老张喊我，“快来看，这个HLS切片列表m3u8里Date头是UTC+8但服务器时区设的是Etc/UTC，时间戳全错位。”

　　现在我每天扫一遍conf目录下的所有.conf和.inc，用grep -r “ssl_protocols\\|log_format\\|system(” ——但这玩意儿防不住人手抖。上周三我把一个测试环境的ssl_ciphers复制粘贴进生产，漏删了其中一行TLSv1.0。这事我没跟任何人讲，包括李工。你知道为啥吗？因为删了那一行，小孟他们频道的旧版iOS App就播不了，而运营那边说“至少要撑到明年三月换SDK”。所以那行我还留着。我也没敢重启nginx——怕reload瞬间有连接丢帧，观众骂“卡顿”，最后又甩锅到CDN。你看，连我自己都成了盲区的一部分。

　　所以别跟我说“加固基线”、“等SRE统一管理”。明早我就把这段话copy进我们组晨会纪要里，最后一句写：“请各业务方本周内自查media-api网关层的proxy_set_header X-Real-IP $remote_addr是否加了if指令做过滤”，然后下班前顺手把Jenkins里那个自动同步conf的job关了——就关三小时，等小孟她们把那个“跨年云观影”专题发完。你要是问我会不会补这个洞？我会。但不是今天。今晚上我要把家里路由器固件升级了，它也开着Telnet，密码还是admin/admin。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!