Vulnerability-wiki

配置与部署类漏洞综述

配置与部署类漏洞是指在软件、操作系统、云平台、网络设备等的部署、初始化、权限配置、服务暴露过程中，由于人为疏忽、默认配置或运维不当而导致的安全缺陷。

这类漏洞并非代码本身的问题，但却在真实攻击中极为常见，甚至占比高达 50%+。攻击者往往通过网络扫描或自动化工具迅速定位这些低成本高收益的入口点。

一、配置类漏洞的核心特征

二、常见配置与部署类漏洞类型

类型 简要说明 风险等级
弱口令 / 默认密码 admin/admin，root/123456 等 极高
后台暴露 / 未加固 没有认证的 /admin 或远程 RDP/SSH 开放 高
目录浏览未关闭 Apache/Nginx 开启目录列表功能 中
默认配置未修改 Nginx 示例页、Tomcat 漏洞 Demo 开启 中
服务端口暴露 Redis/MongoDB 未授权访问 高
云存储配置错误 AWS S3 Bucket 公共读写 高
.env 配置泄露 泄露密钥、数据库密码 高
文件权限错误 .git、.svn、数据库备份文件被下载 高

三、现实中的典型安全事件

四、安全配置推荐策略

场景 安全建议
系统初始部署 禁用默认账号，强制密码复杂度
Web 服务上线 关闭目录列表、禁止 .git 暴露
数据库部署 禁止公网访问、配置访问控制
云平台使用 使用权限最小化策略，启用日志审计
敏感信息存储 配置在只读变量中，避免写入 Git
权限管理 文件/目录权限最小化，禁止 777

五、后续专题导航

继续深入学习以下专题，了解每类配置漏洞的成因、危害、检测方式与防御手段：

总结

配置类漏洞是低技术、高回报的入侵方式，往往被忽视，却是渗透测试与APT攻击中的关键入口。提升部署阶段的安全意识，是每一个安全工程师、开发者与运维人员必须掌握的基本功。

👉 推荐从 弱口令漏洞 开始 👈