多媒体服务器安全审计：90%漏洞源于3个被忽视配置

　　去年双十一，我蹲在IDC机房三号柜后面查流控日志，空调冷凝水滴在左肩胛骨上，冰得我缩了一下——那会儿邵哥端着泡面进来，汤勺磕了机柜两下，说“老张你再不修这台MSS的RTMP推流鉴权，明早运营就拿扫帚赶你”。

　　我原以为是CDN层漏了Referer校验，结果抓包到第七个RTSP响应头，发现Content-Type居然还写着text/html；翻配置树才发现——它压根没开HTTP Security Headers，连X-Frame-Options都是注释状态。运维小王当时正蹲在地上接光纤跳线，后颈上一粒油痘破了，他抬头说：“上个月升级时说‘兼容性优先’，就没动nginx.conf里那三行。”

　　90%？我敢打包票。近两个月我们测了十六套自建多媒体服务器，十一套崩在同一个地方：FFmpeg转码服务监听了0.0.0.0:8080，没加任何认证，没走内网TLS，甚至没关HTTP TRACE——但凡有人扫个端口，直接拖走/HLS/playlist.m3u8然后遍历keylist。你猜怎么着？其中八套的AES密钥就硬编码在config.js里，base64解出来是“media_2023_q1”，后面带个空格。

　　邵哥昨天打电话骂我，因为WAF规则把一段正常HLS切片请求拦了三次，原因？User-Agent里含“VLC/3.0.18”就被标成爬虫——可人家就是用VLC播测试流啊！他骂完挂电话，我盯着屏幕右下角时间：十七点四十三分。窗外雨开始下，不是毛毛雨，是那种砸在机房顶棚像撒黄豆的雨。我切回审计报告第一页，手抖着删掉一句“建议关闭不必要的HTTP方法”，又打回去——删不得，他们真会照着删掉OPTIONS，然后跨域CORS全崩。

　　第三个坑最绝：SRS服务器的WebRTC握手阶段，信令路径/rtc/v1/join?room=xxx&uid=xxx 从来不校验uid是否属于该room。我们用curl -X POST -d “{“room”:”test”,“uid”:”admin”}”发了三十二次，前二十九次都进去了，最后三次被拒——不是策略问题，是Redis缓存满了，自动清掉了一条session键。小李在隔壁工位啃鸭脖，咔嚓一声，骨头渣子溅到键盘F7键上。他说：“哎哟这玩意儿还能靠缓存容量当防火墙？”

　　弱口令整改？呵。我们抄底摸了七家合作方的媒体管理后台，六家后台的API key还在用MD5拼接时间戳生成；其中三家的key有效期设的是三十年——不是写错，是他们自己写的脚本里写死的数字三十。我说“这太离谱”，对方技术总监叼着牙签点头：“对啊，所以去年换过两次，每次换完都忘记改文档里的示例代码。”

　　那天下午三点，我改完第三版审计checklist，桌角堆着半盒没拆封的速溶咖啡，包装盒印着“醇香拿铁味”。旁边手机震了一下，是客服群弹出截图：用户投诉“直播卡顿十秒后黑屏”，我们顺藤摸到CDN回源链路，发现S3预签名URL的Expires参数写成了2147483647——Unix时间戳最大值，没错，是2038年问题。但这不是bug，这是feature，人家就想要永不过期的播放地址。邵哥后来来我工位，掏出烟又塞回去，说“算了，这锅我们不背”，转身时碰倒我桌上一罐红牛，拉环崩飞出去，撞在机柜侧板上叮一声响。

　　其实最讽刺的是，这三处漏洞根本不在OWASP Top 10里，也不在CWE-200列表中。它就卡在“没人认为它是配置项”的缝里：第一个是安全头缺失，第二个是监听地址裸奔，第三个是业务逻辑放行校验绕过——全都是优胜劣汰筛出来的残次品。什么意思？所有自动化扫描器、AST工具、CI/CD流水线里的security gate，全都默认它们“不该由代码负责”，于是没人check。但它们偏就活下来了，在生产环境跑得比健康检查还稳。

　　我试过把这三处加进Jenkins的post-build step做grep告警，结果第一条规则刚上线，运维小王就提了个紧急PR：把“add_header X-Content-Type-Options nosniff;”那行注释掉了，理由是“Chrome 125报MIME type mismatch警告”。我盯着那个PR的description看了十八秒，没点merge。雨还在下。耳机里循环播放着一段H.264 GOP结构异常的录像，帧率忽高忽低，像在喘气。

文章配图，仅供参考

　　现在我每天早上八点四十进公司，先去三号柜后头听五分钟SRS的日志输出声——如果听到连续三个“client closed connection”，就知道昨晚又有台边缘节点被爆破SSH端口扫到了，但只要没看到“ffmpeg segfault”，我就坐下吃包子。邵哥说我有PTSD，我说没有，我只是怕听见某个特定的ERROR码，比如ERR_HTTP2_INADEQUATE_SECURITY。这个我说不准。但我敢保证：下一次被拖库的，八成还是倒在那三个地方——哪怕你把整个K8s集群的PodSecurityPolicy都配成privileged，它照样从FFmpeg的--rtsp_transport tcp -i rtsp://10.0.0.5/live 流里把密钥吐出来。

　　哦对，上礼拜五我看见小李用手机拍了张SRS config.json截图，发朋友圈配文“今天也活得像个运维诗人”，底下评论区一片点赞。我没点。我点了外卖，下单页面显示“预计送达：12:47”，可我知道，这单红烧牛肉面大概率会在13:12才到，因为配送员要先送隔壁楼的六单咖啡。这跟漏洞一样——它不一定马上发作，但它一定在路上。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!