服务器临时漏洞如何修复

学完这篇，你能在半小时内把一台被爆出漏洞的服务器先"止血"再"缝合"，而不是干等厂商补丁或运维排期。

漏洞爆出来的那一刻，最要命的不是漏洞本身，而是从"知道有洞"到"补上洞"之间的空窗期。这篇讲的就是怎么把这个空窗期压到最短。

第一步：先确认漏洞是真的，并圈定影响范围

这一步要拿到两个结论：漏洞是否命中你的机器，以及这台机器上哪些服务暴露在公网。做完之后再动手，能避免盲目改配置把业务搞挂。

先查版本。以最常见的组件为例：

nginx -v
redis-server --version
java -version

再对比官方公告里给出的受影响版本区间（CVE 页面或厂商安全公告都会写）。版本命中，才算真的中招。

接着看谁在外面能摸到这台机器：

ss -tulnp
curl -s ifconfig.me    # 确认公网出口 IP

重点是那几个 0.0.0.0 监听的端口。如果漏洞组件只监听 127.0.0.1，风险等级立刻降一档。

注意：查版本前先记下当前版本号，改配置前先 cp nginx.conf nginx.conf.bak.20240612 备份。很多事故不是漏洞造成的，是慌乱中改错配置造成的。

第二步：止血——先把攻击入口掐掉

这一步的目标是让攻击者打不进来，哪怕服务还在跑。最省事、最快见效的是在网络层封。

如果漏洞只需要封某个路径或某个接口，用 Nginx 直接拦：

location ~* /api/v1/debug/exec {
    deny all;
    return 403;
}

改完 nginx -t && nginx -s reload，两秒生效。

如果漏洞需要一个特定端口才能利用，直接封端口。用 firewalld（CentOS 7/8、Rocky）：

firewall-cmd --permanent --remove-port=6379/tcp
firewall-cmd --reload

用 iptables（Ubuntu 常见）：

iptables -A INPUT -p tcp --dport 6379 -j DROP
iptables-save > /etc/iptables/rules.v4

如果是云服务器，优先级更高的是去控制台改安全组。阿里云在「ECS 控制台 → 安全组 → 配置规则 → 入方向」，腾讯云在「云服务器 → 安全组 → 修改规则」，把对应端口的那条允许规则删掉即可，比在机器上敲命令更保险，因为攻击流量根本到不了网卡。

注意：iptables -A INPUT 是追加到链尾。如果你前面已经有 ACCEPT all 的规则，这条 DROP 永远不会生效，要用 -I INPUT 1 插到最前面。改完立刻用另一台机器 telnet IP 端口 验证，别改完就走人——UDP 的 53 端口和 iptables 的 -A 顺序，是把自己锁在门外的两大经典事故。

第三步：上临时缓解措施，保住业务

如果这个端口或功能不能关，业务还要用，那就只能"带病运行 + 加护栏"。

常见三类做法：

加 WAF 规则。 Cloudflare 在「Security → WAF → Custom rules」新建规则，表达式写 http.request.uri.path contains "/debug/"，动作选 Block。阿里云 WAF 在「防护配置 → 网站防护 → 自定义规则」，逻辑一样。这是临时措施里性价比最高的一种，不改代码不改配置。

收紧访问来源。 把 /admin、/actuator 这类管理接口从"所有人可访问"改成只允许公司出口 IP：

location /actuator {
    allow 203.0.113.10;
    deny all;
    proxy_pass http://127.0.0.1:8080;
}

关掉危险功能。 Spring Boot 的 Actuator 漏洞，最快处置是在 application.properties 里加：

management.endpoints.web.exposure.include=health

然后重启服务。Redis 未授权访问，就加 requirepass 强密码 并 bind 127.0.0.1。

第四步：验证缓解是否真的生效

这一步不做，前面全白干。用 curl 从外部机器复现攻击请求：

curl -i http://你的IP/api/v1/debug/exec

期望看到 403 Forbidden 或连接超时，而不是 200。多个利用路径就多条都测一遍，包括带参数的、改大小写的、加 URL 编码的绕过后缀。

第五步：留痕并推进正式修复

临时措施迟早要撤，所以必须记录。写清楚：漏洞编号、受影响主机、采取的措施、生效时间、临时措施的撤销条件。

正式修复通常是三步：升级到官方修复版本、重启服务、再次验证版本号。

systemctl restart nginx
nginx -v   # 确认版本已变

重启前先确认业务低峰期，并且准备好回滚包。

注意：升级前先把临时缓解措施保留着，等新版跑稳 24 小时再撤，别一升级就把防火墙规则删了。

小结

• 顺序是：确认影响范围 → 网络层止血 → 应用层加护栏 → 验证 → 留痕 → 正式升级。
• 封端口用安全组最快，改 Nginx 配置最灵活，上 WAF 规则最不用改代码。
• 所有改动前先备份，改完立刻从外部验证，别只看配置文件写对了。
• 临时措施要写清撤销条件，否则半年后没人敢动那几条规则。
• 日志、原配置、攻击请求样本都留着，出事了能复盘。