Windows站点搭建的3个致命安全断点

　　去年十一月份接了个Windows站点搭建的活儿，甲方是那种典型的“就改一点点”型客户——你永远不知道他嘴里那“一点点”到底是多少。最要命的是，这活儿里藏着三个致命安全断点，直接把我折腾得差点想退钱走人。第一个断点在IIS配置，甲方非要用默认的443端口，我原以为他只是懒得改，结果他说“这样方便记忆”——方便个锤子，默认端口早被扫描工具盯死了，我当场就怼回去：“您这站点上线第一天就得被DDoS，信不信？”

　　第二个断点更离谱，是数据库权限。甲方要求用sa账户直接连，理由是“开发方便”。我跟他吵了半小时，说这等于把家门钥匙挂在门把手上，结果他发来一张微信截图，是他们技术总监的60秒语音方阵，大意是“按甲方要求做，出了事我们担”。我盯着那语音条看了半天，最后回了句“行吧”，转头就把数据库日志监控开到最大——结果上线第三天，数据库就被灌了三百多万条垃圾数据，甲方技术总监凌晨三点给我发消息：“在吗？数据库崩了。”

文章配图，仅供参考

　　说到钱，这活儿报价本来就不高，甲方还分三期付——首付30%，中期40%，尾款30%。中期款拖了半个月，理由是“财务出差”。我忍了，结果尾款更绝：验收时他们说“有几个小问题要改”，我一看清单——全是之前确认过的需求。我原以为他们只是找茬，结果发现是甲方老板的亲戚想接手二开，故意卡尾款逼我交源码。我直接把源码加密打包发给他们，附了句“解压密码在尾款到账后发送”——这招还是跟群里老哥学的，据说百试百灵。

　　对了，那会儿我手机里存了张转账截图，是甲方中期款到账的记录，备注写着“服务器租赁费”——他们连项目名称都不敢写全，生怕被查税。我拿这截图跟甲方对峙时，他们技术总监沉默了十秒，然后说：“我们财务可能写错了。”我当场就笑了：“错得挺巧啊，刚好错成你们公司对公账户的常用备注格式。”

　　后来我跟群里老哥吐槽这事儿，有人说我“太较真”，说“Windows站点本来就这样，安全是奢侈品”。我原以为他是开玩笑，结果发现他真这么干——上个月他接了个类似的项目，甲方要求用Windows Server 2012，他直接关了防火墙，说“省得麻烦”。结果上线第二天就被勒索，甲方反过来告他“数据泄露”。现在他在群里天天喊“再也不接Windows站点的活儿了”，可我知道，下个月他肯定还得接——毕竟，甲方那句“就改一点点”，太诱人了。

　　现在回头看，这三个断点其实都不是技术问题，是甲方那套“既要又要”的逻辑在作怪。他们要安全，又要方便；要低成本，又要高可用；要快速上线，又要零漏洞——可能吗？我敢打包票，90%的Windows站点安全漏洞，都是甲方自己作出来的。至于那10%？可能是我们这些接单的没扛住压力，妥协了。

　　最近我在考虑要不要转行做Linux站点——至少那边甲方没那么“事儿逼”。但群里老哥说：“Linux站点也有坑，比如甲方非要装360安全卫士。”我当场就乐了——这行当，哪有什么完美方案？无非是看谁更能扛，谁更会甩锅罢了。至于那三个致命断点？我现在见着甲方提“就改一点点”，直接先报价翻倍——爱做不做，反正我不想再当那个“背锅侠”了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!