多媒体服务器安全审计：90%漏洞源于3个被忽视配置

　　去年春天，我蹲在国贸那栋老楼的B2机房里听流媒体服务器爆破日志——就那个墙皮掉渣、恒温系统永远比设定低两度的机房。空调外机在顶上哐哐震，像有人拿扳手敲柴油机。张工蹲在机柜边啃煎饼果子，葱花掉进KVM键盘缝里，他没擦，说“等巡检完一起扫”。

　　我说90%的漏洞真就卡在这仨配置上：SIP信令没强制TLS、RTSP会话超时设成零、WebRTC的ICE候选过滤开关关着。不是没文档，是文档里写“建议开启”，而所有人点开config.rb都顺手删了那行注释，回车，Ctrl+S，走人。我敢打包票：你翻三台不同厂商的盒子，至少两台的rtsp_timeout = 0 还钉在production.rb最底下，用#号盖得整整齐齐，跟供着似的。

　　那天下午三点十七分，运维小刘突然推门进来，拎着半袋湿透的快递——雨太大，他从西门跑过来，鞋底带进一串水印，直接踩过我摊在地板上的拓扑图。他接了个电话，左手捏着耳机线反复绕又松开，右手指甲缝里还嵌着上个月换SSD留下的灰。他说：“王总问，咱们的流媒体鉴权到底走的是JWT还是Session Cookie？” 我头都没抬：“都不走。走的是HTTP Basic，明文base64。” 他顿了顿：“……哈？” 我把咖啡杯推过去，杯底在防静电地板上刮出短促的吱声。我说：“你去查conf.d/001-auth.conf——第十二行，auth_basic_user_file /etc/nginx/.htpasswd。” 他盯着看了十八秒，转身就走，中途撞翻了旁边机柜散热口的塑料挡板，哐当一声，没捡。

　　我原以为问题出在协议栈实现上，结果抓包抓到第七个晚上，发现全是同一台边缘节点在反复发SDP Offer——它压根不校验a=ice-options字段里的trickle参数，直接把本地私网IP塞进candidate行往公网扔。防火墙放行UDP 10000-65535？对。但没人想到，那台机器的/etc/hosts里，localhost那行被谁手抖改成了127.0.0.1\\tstreamer-dev.local\\t\\t#test。就这么一个tab，导致WebRTC初始化时resolve失败，fallback到gethostbyname()抓取第一块网卡地址——正是那块连着DMZ的千兆口。

　　李姐当时正在隔壁调A/V同步抖动，耳机里循环播放测试音：滴…滴…滴…每三秒一次。她忽然摘下左耳，问我：“你们Ruby写的那个on_sdp_offer回调，加了Timeout::timeout(3)没？” 我说加了。她点点头，又戴回去，嘴里含糊地补了句：“可你的timeout包在EventMachine里啊。” 我愣了两秒才反应过来——对，EM.run里套timeout？那个信号根本送不进reactor loop。我手指已经悬在键盘上了，Ctrl+X删掉那行，重写成EM::Timer.new(3) { close_connection }。删得干脆，但心里发虚：这个我说不准，毕竟没人测过三万并发下timer callback会不会被event queue挤掉半拍。

　　后来我们扒出第三处：FFmpeg转码进程的umask设成0000。不是0022，不是0002，是0000。所有临时文件——包括那些带原始密钥片段的.ts分片——全是以666权限落地。NFS挂载点又是no_root_squash。你猜怎么着？有个实习生用sudo -u nobody touch /mnt/stream/backup.lock 测试权限，顺手ls -l，然后截图发到公司知识库标题叫《nobody用户也能写文件！》。截图里清清楚楚，/mnt/stream/20240412/164238/keystream_001.ts 的权限是-rw-rw-rw-。没人点开看内容。但审计工具扫到那一行就红了，红得跟血一样。

　　说到这儿我手机响了，是家里猫砂盆满了，APP推送写着“主子已蹲守十四分钟”。我没接，但把它横放在机柜顶部散热格栅上——屏幕朝下，免得反光晃眼。张工瞥了一眼，说：“你家那只蓝猫，上次来办公室偷吃了我的酸奶盖。” 我说：“它现在只舔铝箔。” 他点点头，撕下一张便利贴，用圆珠笔画了个歪歪扭扭的猫头，贴在UPS显示屏右下角。

　　优胜劣汰？没错。漏掉TLS握手的盒子三个月内被扫三次，自动从负载池踢掉；超时为零的节点，在第七次OOM kill后被Ansible剧本标记deprecated；ICE过滤关着的？它撑过了四轮压力测试，直到渗透组用STUN反射打穿它背后整个B类网段——才终于进回收队列。机器不讲情面，就认这三条线。活下来的，未必多聪明，只是碰巧没在这儿栽跟头。

文章配图，仅供参考

　　我抽屉里还有张皱巴巴的纸，是去年二月手写的checklist：1. sip.tls.enable? → false? 邮件抄送张工；2. rtsp.timeout → 0 → 拍照发群；3. webrtc.ice_filter → off → @李姐。后面一行小字：“等新CDN集群上线就删。” 没删。上周我又看见它压在鼠标垫下面，边角卷了，墨迹晕开一点点。算了，先改脚本吧。今晚就把config_template.rb里那三行默认值全标成WARNING，加粗，再套个（虽然我知道chrome早不支持了）。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!