内行透底：模块化建站，3天？90%省工但90%漏洞！

　　两个月之前周二下午三点刚过，我在某厂机房蹲坑——别笑，机房洗手间是我蹲现场的固定窝点，能悄摸听运维聊活，那天就撞见俩小伙子蹲地上敲笔记本，显示器亮着的是某套模块化建站系统的后台，进度条跳着显示“3天交付已完成72%”。我之前碰过类似的活，哪年帮小厂补过模块化建站留的漏洞，那天瞅着他们的操作，突然就想起当时挨的骂，得，这坑又有人踩了。

　　我原以为这些年轻人是图快，结果是真信了那套宣传里的“90%省工”。他们指着系统里的组件列表说，选个模板，拖几个模块，加个表单，点几下授权，连数据库都能自动搭，确实，不到三天就点完了所有“该做的”，客户给的尾款当天就到账，我还以为这事就这么顺顺当当过去了，结果过了俩礼拜，那厂的运维总监半夜两点给我打语音，喊说网站被黑了，连后台都登不进去，我赶过去看，才发现问题全在这“模块化”上。

　　那天机房的灯黄得晃眼，运维总监攥着保温杯的手都抖，俩小伙子蹲在角落不敢说话，我扒开他们的后台日志，就见一堆我熟得不能再熟的东西：组件的旧漏洞没打补丁，授权接口的密钥是系统默认的，用户表单的输入框连基本的过滤都没开——这些全是模块化建站的“标准配置”，不是我事后诸葛亮，是真真切切从后台导出来的记录。

文章配图，仅供参考

　　我蹲在那研究了仨钟头，把日志里的漏洞一条一条列出来，当时就觉得好笑，也觉得憋气。不是说模块化建站不好，是这些人把它当成了“一键建站”，压根没懂“模块化”的核心是复用代码，复用的东西要是没经过严格的安全过滤，那就是把别人踩过的坑又踩一遍。之前我帮人补的那个网站，也是用的同类型模块化系统，当时补了七天，客户嫌我慢，说人家三天就搞定，结果没俩月就被黑了，对比这一次，简直一模一样。

　　我记得之前跟同行聊过，模块化建站的优点是优胜劣汰，好用的组件会留下来，不好用的会被淘汰，但前提是你得有人盯着，不能光用不查。可现在的人，就盯着“3天交付”的噱头，把安全这事全扔给了系统，连最基本的权限配置都没改，就敢上线，这不叫“省工”，这叫“省脑子”。

　　我还发现个更有意思的细节，俩小伙子选的那套模块化系统，授权接口的请求日志里，有几百条来自境外的IP，全是在他们交付后的第三天访问的——摆明了是有人盯着他们的上线时间，专门挑授权密钥没改的空子。我当时就问那俩小伙子，你们改授权密钥了吗？他俩说，系统说默认密钥安全，改了会出问题，我差点骂出来，那系统是说“默认密钥安全”，还是说“默认密钥是给你留的后门”？

　　那天的运维总监跟我念叨，客户本来就小，这一黑，订单黄了三个，还赔了人家两万块，那俩小伙子攒了半年的钱才凑够启动资金，这下全赔进去了，我看着他们蹲在地上的样子，心里也不是滋味，但又觉得活该——谁让你们不信邪，非要拿客户的钱当试错成本。

　　我当时花了八个钟头，才把他们的网站补好，那些漏洞大多是组件的旧问题，有的还是去年才爆出的，系统没更补丁，他们也没查。补完之后我跟运维总监说，以后别信那些“3天建站”的噱头，模块化建站不是不好，是得有人盯着，每个组件都得查一遍，权限都得改一遍，不能光图快。

　　我原以为经过这事，那俩小伙子能长记性，结果上周在某技术论坛看到他们发帖，说“模块化建站果然坑，还是自己写的代码靠谱”，我看完就笑了，自己写的代码就没漏洞？之前我自己写的后台，上线三天就被注入了，还是因为没过滤输入，这跟模块化没关系，是人没用心。

　　还有个小细节，我那天补完漏洞，在服务器日志里看到一条记录，是一个月前的，有人尝试用默认的管理员账户登录，被系统挡住了，就是那俩小伙子没改之前的账户，要是再晚一天，就被登进去了，这说明不是漏洞本身坑，是用漏洞的人坑，你但凡多瞅一眼后台，多改一个配置，也不至于出这事。

　　我后来跟那俩小伙子聊过，我说我从业十五年，见过的网站被黑的，一半是因为代码有漏洞，一半是因为没改默认配置，模块化建站是帮你省了搭框架的功夫，但省不了安全检查的功夫，你把框架搭好了，没人去检查每个零件，那零件再结实，也会被人拆了用。

　　我现在还时不时收到朋友的微信，问我要不要接“三天建站”的活，我每次都回，要么就是没时间，要么就是不接，不是我嫌活快，是我怕接了之后，万一出了问题，我得跟着背锅，我没那么好的脾气，也没那么多时间给人擦屁股。

　　前几天帮一个朋友的小厂做网站，花了十二天，比模块化建站慢了九天，但我给他查了所有的组件，改了所有的权限，还加了一层自定义的过滤，他的网站上线半个月，连一次异常请求都没有，他给我转钱的时候说，贵是贵了点，但心里踏实，我也踏实。

　　不是说模块化建站不能用，是得用对，你要是能把每个组件都检查一遍，把每个配置都改一遍，那模块化建站能省不少事，但要是你光盯着“3天交付”的数字，把安全扔在一边，那你等着的，不是“90%省工”，是“90%漏洞”，到时候哭都来不及。

　　我总说，做网安的，最见不得的就是有人拿客户的安全当玩笑，尤其是那些刚入行的年轻人，被噱头迷了眼，连基本的安全常识都丢了，就敢接活，最后坑的是自己，也是客户，可这话，说了一百遍，还是有人不信，得，爱信不信吧，我只给能听进去的人补漏，那些非要踩坑的，我也拦不住。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!