每一个做软件的人，都应该读一下 FulcrumSec 自己发布的 PingCAP / TiDB Cloud 入侵复盘。FulcrumSec 是近一年冒出来的… · @Michaelzsguo · TwKit

@Michaelzsguo

每一个做软件的人，都应该读一下 FulcrumSec 自己发布的 PingCAP / TiDB Cloud 入侵复盘。FulcrumSec 是近一年冒出来的网络犯罪组织，主要通过窃取企业云端数据进行勒索。 这两天，互联网安全事件搅得人心惶惶。从 PHP 到云数据库，漏洞和数据泄露接连曝光，让人觉得我们每天依赖的软件，简直像筛子一样，漏洞百出。在越来越擅长寻找漏洞的 AI 面前，更像是在裸奔。 这个时候，读到这份入侵分析，更让人感到一阵悲凉。这里面有多少问题，其实都是人为造成的。攻击者描述的那些问题，竟然如此熟悉： 密钥写进代码仓库。 凭证管理和自动扫描，不能只靠程序员“记得小心”。 客户密码、云密钥混进工单和日志。 为了方便排障，把生产环境的钥匙复制得到处都是。日志脱敏和技术支持流程，本身就是安全边界。 权限给得过大。 攻击者称，内部早在 2022 年就记录过低权限角色可以重置集群 root 密码的问题。发现问题之后，谁负责修、什么时候修完、谁来验证，比建一张工单重要得多。 数据持续外流，却没有及时发现。 攻击者声称，连续 22 天，每六小时导出一次控制面数据。安全系统买了多少，最终还是要看异常发生时，有没有人收到警报并采取行动。 这些都是攻击者单方面披露的细节，仍需要独立核实。但其中暴露的工程和管理问题，值得每个软件团队警醒。 教训不能更深刻了：凭证、权限、日志、漏洞修复闭环，这些都是最基础的工程和管理责任。 AI 会让发现和利用漏洞变得越来越快。那些过去靠着“没人注意到”勉强撑着的地方，以后还能撑多久？ 最让人悲凉的是，攻击者似乎还没展示什么惊天动地的本事，我们自己已经把门洞开了。 https://fulcrumsec.vg/pingcap/

曝光 277 · 评论 0 · 点赞 0 · 书签 0