本来网络安全是一件很严肃的事情，但是偏偏国内网络安全风险确是遍地开花。在两个比较知名的漏洞提交平台乌云、360补天每天都会有大量漏洞提交，其中不缺乏上市企业、政府机构、教育机构等影响范围比较大的漏洞。
为何每天都有数百成千的漏洞爆出，这着实让人感到震惊。很多人都说计算机行业已经处于饱和状态，那说明IT人员很多哇...但是真正作为一名合格的IT管理员又有多少呢？
当你在每天忙碌着写各种文案、标书、网络设计的同时是否有过关注网络安全？还只是单纯的停留在防火墙、上网认证等那些硬件配置上？
网络安全本身就是一个很广的范围，软件程序漏洞、网络设计漏洞、WEB站点漏洞、硬件设计缺陷......其实这些都是和网络相关，那么作为一名IT管理员是否应该经常关注这些安全风险同时并结合自身网络环境进行安全巡查修补。答案是很多都忽略这点...
网络的不断发展，新技术不断更新，需要不断学习来掌握其中知识。本来就已经很疲惫的IT人员还得面临着各种网络安全威胁，说到底，这其实还是一种意识和习惯问题。就拿这次大规模政府机构敏感数据泄露问题来说，其实很多都不是比较高深的网络安全风险、甚至是已经在网络上流传开的漏洞，却依然造成了如此之大的数据泄露风险。很简单，就是因为企业、机构的IT管理员平常都不关注网络安全，有些甚至根本不知道入侵、渗透、注入等名词。
举个真实例子来讲：
某天在访问某企业的官网时，通过了解这家企业还是做的还是蛮大的，有很多大型项目、自主开发的程序。既然是大公司就来个安全检测套餐吧，一番云雨后并没有什么收获其中检测了OA、邮件系统、官方网站、及其他一些杂项...好吧突发奇想，看到有ssl vpn果断尝试下。
duang的一下就进去了，吓得我赶紧穿好了裤子开上台式拖拉机。居然VPN有弱口令 test admin 两个账号。抽根软白沙压压惊...因为vpn中发布了8个内网web程序，接着再是一番云雨拿到一台财务报表服务器，很显然这程序已经是烂大街的洞了，居然管理员没做任何修复，也许觉得是内网吧。duangduangduang...顺利提权进入服务器，因为有了VPN，同样处于内网环境。给3389端口来了一记组合拳，顺利拿下了服务器并获取了管理员密码...发现这台服务器上面数据不是很多。于是乎想着来个内网渗透吧...各种扫描端口尝试攻击，最后是又拿到了两台服务器。这尼玛有点诡异啊...居然管理员账号都是一样的，好吧瞬间懂了这管理员应该是领导级的，还是域账号...又是duangduangduang接下来的事情让你更吃惊，总共内网35台服务器...每台都可以用这个账号进行登录。数据量已经扰乱了我的眼...各种项目文件、标书、商业机密资料、还有核项目文件....顺势整个内网设备FW、ROUTER、Switch、存储、虚拟化都被拿下了。好吧已经是凌晨3点了，再来一根软白沙压压惊。看着这么多数据，动不得，只能围观一下...毕竟是安全检测点到为止...因为我还想去外面的世界走走
通过上面这个案例其实就已经暴漏出了企业网络中存在着各种安全风险，也许你外围安全做的很好，但依旧还是存在着家贼的风险。这样的案例并不少，至少我也见了很多了...
导致这些数据泄露的原因，头奖依旧要属于弱口令、其次是web程序设计缺陷存(SQL注入、XSS)、然后是服务器配置不当(随意开放端口、目录浏览)、接着是不作为(满足现状，使用老旧程序、不会及时更新修补)。和网络技术一样，入侵手段也是多种多样，每一样都会给你致命一击。
希望管理员们能够引起重视，加强自身技术的同时也不要忘记网络安全，要养成良好的安全意识，加强自家企业的网络安全，定期巡检写报告。网络安全不是一朝一夕，是一个持久性的过程。
好久都没写这么多文字...感觉有点自己都看不下去的样子，如有不对的地方还请见谅。因为我也只是一个业余的白帽子，也是一个底层IT屌丝。
我就是Marlboro，那么我也头一次上新闻混个脸熟....O(∩_∩)O哈哈哈~
这一段，小编把我写到高潮了...
让Marlboro印象尤为深刻的是，前段时间对某省卫计委的一次安全检测只用了30分钟。“全省人口的医保信息、医保卡金额、医疗药品等等敏感数据就泄露了，当然其中也有我的”，他说，湖南省卫计委后来低调修复，没有在平台上更新告知白帽子们。
新闻-搜狐：http://news.sohu.com/20150424/n4 ... qq-pf-to=pcqq.group
新闻-凤凰：http://tech.ifeng.com/a/20150424/41066412_0.shtml
