多媒体服务器安全审计：90%漏洞源于3个忽视配置

　　去年端午，我蹲在国贸三期B座负二层那个老机房里，空调出风口卡着半片没拆的泡面包装袋，嗡嗡响了十八秒我才意识到是它——不是UPS告警。王工蹲在机柜前用指甲抠SDI输入板卡散热片上的灰，抠下来三小块，全掉进风扇口了。他手背上有道新鲜的划痕，应该是刚才掰断了某根HDCP密钥跳线时蹭的。

　　就那会儿李总监推门进来，夹着台刚刷完固件的NVIDIA Jetson Orin，后颈全是汗，说“再跑一遍流控压测”。我没抬头，回他：“你先把你服务器上那个/rtmp/stat接口关了。”他愣住，筷子还夹着半截凉粽子，米粒掉在机柜导轨上，弹了两下。我原以为他得查文档、翻nginx.conf、再问运维同事——结果他掏出手机，直接微信发了个截图给外包厂商，对方三分钟回：“哦，那个是demo默认开的，忘了关。”

　　对，90%漏洞源于三个配置忽视：RTMP/HLS的统计端口裸露、WebRTC信令服务器未强制SNI验证、以及——最操蛋的那个——FFmpeg转码队列超时参数设成零。不是-1，不是300，是零。等于告诉ffmpeg：“你永远别停，哪怕CPU干到冒烟，哪怕内存爆穿，你给我硬扛。”上个月我们漏扫报告里第十七条“高危：无限资源消耗”，就是它。可扫描器只报CVE-2023-XXXXX编号，不写这行配置是谁改的，什么时候改的，改之前有没有跑压力测试。

　　那天下午雨下得特别沉，水汽顺着桥架缝隙滴到KVM切换器背面，滋啦一声短路，整个控制台闪了七次，但主服务没宕。奇怪的是，监控没报，Zabbix的trigger被设成了“持续三分钟异常才告警”，而短路只撑了四十二秒。我盯着屏幕左下角那个不断跳变的帧率数字，29.97→0→25→0→30.01——就像个装死又诈尸的守门员。王工突然笑出声，说他儿子今早把全家路由器重置了三次，因为想用平板看《熊出没》的4K HDR版，结果发现“家里网变慢是因为WiFi信道被隔壁火锅店占了”。我说那跟咱们这台跑了八年的Wowza Edge节点被当成反射源搞DDoS，本质上都是同一类事：人总在调看得见的东西，看不见配置表里的幽灵。

　　有个细节特别真实：第三台边缘服务器上，那个FFmpeg进程启动时的-cpu-used参数，被改成3而不是默认2。改的人留了条注释：“加速编码”。我敢打包票，那行注释是凌晨三点零七分写的，git blame里作者邮箱后缀是@qq.com，不是公司域。但到底是谁？我查过LDAP日志，那一夜有六个人登录过Jumpserver——包括保洁阿姨借工位给孙子上网课，她顺手点了下SSH终端，输错了密码，连按三次回车。这事我说不准，真没法锁定。

　　再说那个SNI验证。上周跟甲方安全团队吵架，他们拿BurpSuite发了个空Host头过去，我们信令服务器返回了完整SDP，带ICE候选地址。对方拍桌子：“这就是逻辑缺陷！”我喝了一口已经凉透的酸梅汤，玻璃杯底黏着颗山楂核，我说：“你们测的是WebRTC握手阶段，但我们协议栈在收到offer之前，早就通过DTLS证书链校验过客户端公钥指纹了——你们没打证书中间CA的根，所以没触发校验失败。”对方愣住。后来我才知道，他们测试用的客户端证书，是三年前自签的，还没更新OCSP Stapling配置。这事我不屑争，反正最后补丁不是我们交的。

　　桌上的外卖盒盖子掀了一半，里面是麻婆豆腐，浮着油光。旁边放着张手写的便签：“陈哥，CDN调度域名解析缓存时间记得改回300s，别用60，上回切流崩过。”字是张工的，圆珠笔写的，末尾那个“s”拖了长钩，勾住了餐巾纸边。张工今早去海淀医院陪产，产房门关上前他还冲我挥了下手，手腕上戴着他媳妇织的红绳，褪色了。

　　反常识结论来了：这些漏洞之所以活这么久，不是因为难修，是因为修了之后没人敢上线验证。上次改完RTMP统计端口权限，我们压测发现某个特定GOP结构的直播流会在第九千二百四十七帧丢一次sync，但只出现在用索尼FX6拍的婚礼现场录像里。复现条件太苛刻，研发说“建议客户换摄像机”，运维说“那就等下次客户投诉再说”。优胜劣汰？呵，淘汰的不是漏洞，是提出问题的人。你看现在还有谁提SNI的事？都忙着调A/B测试埋点去了。

文章配图，仅供参考

　　我抽屉里还留着五年前某厂商提供的“多媒体安全加固白皮书”，PDF第十七页写着：“建议禁用所有调试接口”。后面用灰色小字补了句：“如需启用，请联系厂商技术支持获取临时授权令牌”。这东西现在还在我们生产环境跑着，token过期时间写着2021年12月，但服务没停——它根本不校验时间戳。你猜怎么着？我们监控系统里有个指标叫“token_validity_skew_seconds”，值一直是-1827351，负数。没人管。它就挂着，像机柜顶上那盏接触不良的日光灯，亮一半，灭一半，照着一堆没贴标签的跳线。

　　所以接下来？我把FFmpeg超时参数从0改成600，推了commit，没走CR。王工问我要不要同步通知前端团队，我说不用，“他们根本不知道自己调的API底层走的是哪个队列”。李总监后来说要开个会，讲“配置即代码”落地路径。我答应了，但会议纪要我让实习生记——他昨天刚用Python脚本自动给三十台服务器的/etc/hosts加了#SECURITY_NOTE注释行。效果？暂时没发现什么变化。也许明天机房又下雨，也许不。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!