多媒体服务器安全审计：90%漏洞源于3个被忽视配置

　　跟总编吵完第三轮，他手机响了一声，是微信语音条弹出来那种“滴”——我没抬头，但听见他按了两下拒接，屏幕光映在镜片上晃了一下。我原以为就一个配置项的事，结果他翻了个白眼，顺手把笔搁在选题单上，那支蓝色中性笔没动过，笔帽都没拔。

　　多媒体服务器安全审计：90%漏洞源于3个被忽视配置。这标题我写了十七遍，每遍都加粗三个词，可总编说“太像漏洞通告”，我说那要不叫《论HLS切片目录遍历与默认CORS策略的共生关系》？他抬眼看了我三秒，然后点了根烟——不是抽，就叼着，没点着，灰积了半厘米长。我敢打包票，2025年5月那轮红队扫网，八成以上的RCE链，起手第一步全是往/vod/后面多敲两个点斜杠。真不是玄学，是nginx.conf里那一行include /etc/nginx/conf.d/.conf——谁TM还记得它会把backup目录里那个十年前的old.conf也拉进去？

　　隔壁桌咖啡洒了。不是泼，是杯沿磕在键盘托上，褐色液体顺着F键缝往下渗，滴到脚垫上成了深色圆点。小编小张低头擦，擦到一半停住，掏出手机拍了张照发群里，配文：“今日运维事故模拟图”。没人回。我也懒得看。反正我上周在三台流媒体节点上批量改了user directive，改成nobody，改完发现supervisor根本起不来——因为logrotate那个crontab脚本还挂着root身份去chown -R nobody:nogroup /var/log/nginx，结果一跑就权限冲突。这种事你跟总编说？他说“你这属于基础配置错误”。对，基础。就像知道TCP三次握手却不知道SYN重传超时默认是三秒一样基础。

　　第二个配置：FFmpeg转码器的shell逃逸面。不是参数注入，是它那个-ffmpeg_preset参数后面拼接的json文件路径——如果你用了--enable-runtime-preset=true（默认就是true），而json又放进了web root底下…呵。我试过用curl传个{"name":"/proc/self/environ"}过去，转码任务失败，但/var/log/syslog里刷出了一整页env。这个我敢打包票，我们测试环境那台老机器，连SELinux都没开，就靠auditd记了几行日志，结果审计报告里这条直接标红加叹号。可你知道最荒谬的是什么？文档里写着“仅用于开发环境”，但生产部署手册第11页附录B的Docker Compose YAML片段，明晃晃写的就是preset: ./configs/preset.json。作者留的邮箱后缀是@company.internal。我已经忘了是谁写的。

　　外卖凉了没人吃。铝箔盒盖子掀开，西兰花已经泛黄，米饭结出一层膜。我戳了两下，筷子尖粘住米粒，扯出细丝。这时候突然想起，上个月有个客户反馈“点播封面偶尔错乱”，我们查了三天CDN缓存，最后发现是nginx proxy_cache_key里漏掉了$arg_v，而他们前端用?_v=时间戳做版本控制……结果所有带_v参数的请求全打到同一份缓存块里。改完当天，客服电话少了一半。但这事儿和那三个配置没关系。真的没关系。我就是忽然想说。

　　第三个：RTMP推流鉴权模块的绕过。不是token失效，是鉴权服务返回401之后，FFmpeg客户端居然自动退回到basic auth重试——而我们的nginx.conf里那段auth_basic_user_file指令，指向的还是2019年测试期生成的htpasswd，里面有个test:test的账号，密码明文写着“test”。没人删，也没人关，就这么挂着。红队扫描器扫出它的响应头带WWW-Authenticate: Basic realm="Live"，直接标记为“低危”，因为“未利用路径”。可他们不知道，我们有个第三方SDK的安卓推流库，在连接失败时会静默fallback到HTTP POST模拟basic auth，而那个POST的base64字符串……是硬编码在so里的。我说不准这算不算0day，但我能确定，去年十月有两起“用户盗播事件”，IP地址全来自同一个大学校园网段，查日志发现他们都用同一个推流APP，版本号是2.1.4。再往上翻？没了。审计报告里这事没进最终版，被归类为“第三方责任”，旁边还画了个小叉叉。

　　其实我觉得优胜劣汰这点最真实。不是系统淘汰人，是配置淘汰配置。你守着旧模板、旧手册、旧checklist，新流量一压，旧规则就自动坍缩。就像我们那个KPI——上季度“高危漏洞修复率92%”，但所有修复都是打补丁，没动过底层架构。所以第二季度审计一来，照样扫出三十多个medium以上问题。其中二十三个，都卡在那三个位置：目录遍历路径拼接、FFmpeg preset加载机制、以及basic auth的幽灵fallback。它们像三块砖，砌在墙缝里，平时看不见，风一大，整面墙吱呀响。

文章配图，仅供参考

　　总编最后说：“你别总盯着技术细节，要提升视角。”我点头，顺手把他桌上那支没动过的笔拿起来，拔开帽，划掉选题单上我的名字。笔芯是0.5mm，划痕有点浅，得斜着用力才留下印。窗外有人在修空调外机，扳手碰金属的声音断断续续，“哐——哐——”，节奏很慢。我忽然想到上个月工资条上多扣了三百七十二块，说是“安全加固专项培训费分摊”，可我根本没参加过那个培训。也没人通知我。

　　这篇可能活不过三小时。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!