迎着新时代的阵阵春风，沐浴着领导们的潺潺关爱，在一片大好，而且会越来越好的和谐社会氛围中，金马甲团队在即将结束的四月末进行了一次登高望远和农场采摘活动，部分同事喜形于色，一路上都洋溢着幸福的表情，如图所示：

活动中大家兴致勃勃，进行了各种努力的尝试，例如攀登圣泉山，棋牌，摄影，赛跑，餐饮，采摘草莓。

席间，活动进行到高潮，儒哥还被提名为公司本次郊游活动最帅员工。

老实说，原来的绿盟在圈子里还是有一定影响力，只不过他们试图模仿铁盒子公司做软硬打包产品的模式多年来一直徘徊不前，而且早前的吵闹分家也实实在在的证明了黑客们的想当然是不能和商业社会并存的。

上周有幸和为公司服务的两位绿盟公司员工见面，聊了聊，不得不说，所谓绿盟，也不过如此。
儒哥在公网上的视频直播服务器，开放了Windows Media Service服务，绿盟的扫描器检测到该服务在80端口打开了很多路径，包括tomcat的默认管理路径（http://rooturl/manager/html），于是认定这是一个弱口令漏洞，因为不需要登录就进入了这个URL嘛，事实是，Windows Media Service作为广播服务器的时候，它并不知道客户端（Media Encoder）发过来的广播点是什么，而且它也没有必要去判断这个广播点是否有效，因为此时它的角色是广播服务器，于是，在每一个URL访问点上，它都会产生一个播放列表文件（asx文件），文件中包含了该访问点可能包含的媒体流输出路径，就像shoutcast服务器的pls文件，或者winamp的m3u文件。

下面，我们来看看所谓绿盟扫描器的荒谬之处，
第一，没有判断服务器的banner，就认定http://rooturl/manager/html是Tomcat的管理服务页，那如果说是一个CMS系统，它发布静态页面的路径刚好是manager/html，那不扯淡吗？明明这台直播服务器的banner是Windows media service，你说判断下banner，后面的不就没了嘛。

第二，没有判断页面的文字，属性，就认定http://rooturl/manager/html是Tomcat的管理服务页，如果要说http://rooturl/manager/html是有危害的，那么至少得抓个关键字吧，至少得能抓到个deploy，至少能抓个WAR，才能说弱口令登录进去了嘛，什么都没判断，就认定这是一个弱口令漏洞，简直令人匪夷所思。

第三，如果到此为止，那也就罢了，但正所谓嘴上无毛，办事不牢，那个戴着眼镜的绿盟女人在这赤裸裸，血淋淋的惨痛现实面前仍然大言不惭的说：我们的扫描器是目前市面上最好的扫描器。

当时我就怒了！

实际上，这台服务器上的确存在一个弱口令，因为儒哥的直播软件需要调用Windows系统用户，所以我给他加了一个比较简单的用户名和同名密码，但令人失望的是，“目前市面上最好的”绿盟扫描器没有检测出来（当然，自瘟到死两千以后，这是检测不出来的…..汗）~

在互联网上随便捡一个扫描器，就能把公司网站扫描一大堆Audits出来，而这大多数所谓的审计，都和前面我们说到“目前市面上最好的”绿盟扫描器中荒谬的判断http 200 response逻辑一样，既然如此，我们又为什么一定要去购买绿盟的服务呢？那莫，就让我们以一种非专业的眼光来分析一下，公司的网站到底可能存在什么样的漏洞和隐患。

根据捡来的不要钱的扫描器扫描分析，
第一，公司的服务架构于Solaris平台上，当然，是不是Sun或者IBM的硬件我就不知道了，因为前两年Sun刚好把Solaris操作系统开源了，弄个戴尔的PC机也是能装D！和其它的类unix平台相比，Solaris天然的优势在于对Oracle数据库的支持。

第二，居然有几台机器开了telnet daemon，虽然crack的可能性不大，但安全隐患自然是存在的。

第三，国资搜索那台机器居然开放了Oracle端口……根据我英明的分析，应该是金马甲首页的国资数据是直接从国资搜索这台机器的数据库取的，导致了这个端口的开放，很显然，这是一个相当柔和而又自然的DOS拒绝服务入口。

第四，其中有一台服务器因为Apache版本太低，有诸多DOS拒绝服务的漏洞，但根据我英明的推测，这台机器是用作测试的，由于没有溢出，所以问题不是很大，不过，在不久的将来，一旦有了溢出，那么我们将可以入侵这台机器，并安装sniffer，以便窃听局域网的通信这种可能性是存在的。

第五，我们最后来看看儒哥的这台视频直播服务器到底有没有问题，首先，我们确立这样一个逻辑关系，我们用捡来的扫描器扫描，应该会扫描出有问题，那么才证明绿盟的扫描器并无任何特性，只是抄袭，包装了其它的扫描器而已，如果扫描不出问题，那就证明捡来的扫描器和绿盟的扫描器判断逻辑不一样，对问题的解决没有启发意义。那莫，结果是，儒哥的视频直播服务器有三百零五个可能存在的审计隐患，而这三百零五个，看起来怎么也比不过上面那两台Solaris里面的五百八十八个严重，然而，这都只是可能存在的隐患。

总的来说，公司网站运行是没有任何问题，但存在至少三处以上的隐患，多为应该关闭的服务没有关闭，应该关闭的端口没有关闭，被绿盟判断为漏洞的问题纯属子虚乌有。

接下来，我们还可以用捡来的扫描器生成一个报表，以便我们分析到底是不是有漏洞存在。

点这里下载pdf文件（598.3KB）