多媒体服务器安全审计：90%漏洞源于3个被忽视配置

文章配图，仅供参考

　　第二个被忽视的配置是FFmpeg的`-safe`参数。我们团队有个老开发，写转码脚本写了五年，一直用`-y`覆盖输出文件，觉得“方便”。结果去年有用户上传了个精心构造的MP4，文件名里藏了`../`路径，FFmpeg默认没开`-safe 1`，直接把转码后的文件写到了系统目录。那天我在机房待到凌晨三点，听着硬盘嗡嗡响，外卖都凉了——后来查出来，这漏洞在GitHub上挂了三年，就因为没人注意转码脚本的参数配置。现在每次看到浏览器标签页里那三十个未关闭的“FFmpeg参数文档”，我都后怕。

　　第三个更绝——RTMP流的`auth_module`没启用。我们用的SRS服务器，默认配置里RTMP推流是不需要认证的。运维说“我们内部用，没必要搞认证”，结果有天隔壁部门的测试机被黑了，攻击者直接用那台机器的IP推了个恶意流到我们的CDN节点。更搞笑的是，这漏洞在审计前两周刚被一个白帽子在GitHub提过，运维小哥还点了“已阅”——我翻他聊天记录，发现他根本没点进去看详情，就因为“标题太长懒得读”。现在他工位上贴了张纸，写着“RTMP必须认证”，字是拿马克笔写的，歪歪扭扭，估计是领导逼的。

　　那天审计完，我蹲在机房楼梯间抽烟，运维总监凑过来问：“你说这些配置问题，怎么就没人在意呢？”我吐了个烟圈，说：“因为它们太‘基础’了。大家都在追新框架、新协议，谁有空管Nginx的`client_max_body_size`？可安全这事儿，拼的就是谁更‘基础’——你连基础配置都搞不定，追新有什么用？”他点点头，说：“那以后审计重点查这些？”我掐了烟，说：“查个屁，直接扣钱。优胜劣汰，谁忽视基础配置，谁就替团队交学费。”

　　其实这些配置问题，早有预兆。去年一月，我们有个视频站被DDoS，攻击流量里混着大量畸形RTMP包。当时我查日志，发现很多包的`tcUrl`参数异常，但没深究——现在想想，那可能就是攻击者在试探我们的RTMP认证配置。还有那次FFmpeg的OOM事件，日志里明明有“file path contains ../”的警告，但运维小哥直接忽略了，说“可能是用户上传的文件名乱码”。这些细节，当时没人当回事，现在全成了漏洞的源头。

　　我原以为安全审计就是查查补丁、看看弱口令，结果发现，90%的漏洞都藏在那些“被忽视的配置”里。这些配置不新、不酷，甚至有点“老土”，但它们就像房子的地基——地基不稳，楼盖得再高也没用。现在每次新服务器上线，我第一件事就是检查这三个配置：Nginx的`client_max_body_size`设了没？FFmpeg的`-safe`参数开了吗？RTMP的`auth_module`启用了吗？要是哪个没搞定，直接打回重做——优胜劣汰，就是这么残酷。

　　对了，上周运维小哥又找我，说“我们新买了台服务器，你帮我看看配置”。我过去一看，`client_max_body_size`还是默认的1M，`-safe`参数没开，RTMP的认证模块也没启用。我盯着他，问：“你上次被骂的监控画面，忘了？”他挠挠头，说：“我以为你只是说说……”我转身就走，说：“下次审计，扣你绩效。”他赶紧喊：“别别别，我现在就改！”——你看，有些事，不逼到份上，就是没人当回事。

（编辑：PHP编程网 - 金华站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!