因为安全问题和同事产生了冲突，真是多管闲事。

[kulove]

发现另外一个项目组的漏洞（ get shell 那种），可以获取到所有用户的身份证照片，随即提交到同事那边，今天另一个项目组的同事过来了解情况。

我说有漏洞，然后复现。

他说这个是有控制的，只有登录后才能利用这个漏洞。。安全意识呢？？

就问怎么解决，说黑名单过滤后缀。。

最后提出了我自己的想法：1.去除物理文件路径； 2.后缀白名单； 3.服务器禁止解析权限； 4.用户身份证信息加密。

后面我们又讨论了些其他的，最后看他对这个问题这么不是很在意，就说你什么态度（语气不太好）？然后他反问我是什么态度？是啊，我什么态度。

只是可能他并没有理解我的意思，我的意思是对用户隐私的态度，而他却理解成了说话的语气以及方式。

想了想，另外发现的一个严重级别的漏洞就没说了，毕竟显得太多管闲事。

对了，这是来到公司提交的第三个 get shell 级别的漏洞，或许也是最后一个了吧。

最后替用这个产品的用户捏把汗。

[zhujinliang]

又不是不能用.JPG

[autoxbc]

按照套路，被黑了你是第一嫌疑人

[PP]

虽然不清楚是什么产品，不过楼主为用户着想的做法非常值得称道！

我有一个发生在自己身上的教训分享给您。在工作了差不多十年后，我在某种巧合下认识到自己说话的方式不对，会给同事带来压力，有时同事会因为感觉受到指责而产生防御性的反应。您身上可能也存在这个问题，或许可以从我的教训中得到一点提示。

祝好！

[yunye]

先上线卖起来

[justin2018]

为楼主点赞~

为用户着想~

[kulove]

@PP 没错，说话的方式已经改了不少了，很多都是关我屁事的心态，但是遇到这种原则性的问题还是忍不住。。

[loryyang]

做正确的事情是你的选择，而不是别人的选择。你除了证明你这种选择能获得更大的成功，从而吸引别人模仿，别无他法。
讲道理？小孩子都不听，你以为一个见了那么多世面的大人会听？
免得话显得太冲，加一句：能主动发现漏洞，能告诉相关人员是非常赞的做法，但是无论如何，都要知道：无法强制改变别人的想法

[kulove]

@autoxbc 对。。这个知道。。但是，乌云倒了，没别的途径了。。

[kulove]

@loryyang 对的，做正确的事情。

话说有时候我就想要不要给丫黑了，这样才能让他们知道安全的重要性。

[uuair]

我同意楼上说的，无法强制改变别人的想法。你认为对的，不一定别人认为，你认为说话方式对的，别人也不认为。。。。换位思考一下，谦受益，满招损。

[brblm]

耿直的程序员。

[Donald5VE]

非常想知道是什么产品，要尽量避免使用

[a663]

@PP 具体是什么方面的呢？想知道

[CallMeReznov]

一般干安全的很容易走入这个死循环里
建议看看 凤凰项目
归根究底是方式方法

[hellowes]

的确，毕竟这种修复安全 Shell 的问题，写到月总结上是不光彩的，还容易打乱他的工作进度(我并不是说不应该修复这种安全问题)。
楼主其实也可以用“关我屁事”来解决这方面的问题，毕竟大家都只是混口饭吃，他愿意修复就修复

[hellowes]

很多人天天加班，产品其实能用就行了。如果这是内部系统，那更简单了，直接把各个帐号权限控制好日志记录，信任同事，后面再慢慢进行安全测试。

[hellowes]

不要喷我，作为一个码农，我觉得做当前任务之外的事情，真的很难让我提高积极性

[40huo]

不算故障么

[whoami9894]

没有专门的安全人员检测吗。听着是文件上传 get shell 了，那可就不是获取身份证照片那么简单了

[Owenjia]

甲方的安全团队也经常遇到这种情况……

[guoer]

这种漏洞直接汇报给大领导就可以了

[jadec0der]

既然他没有安全意识，以后就跟领导汇报好了

[ETiV]

LZ 你按照自己的态度说下去，他就懂这里的「你什么态度」是啥意思了

中文太博大精深了~~~

[PP]

@a663 抓重点。值得思考的部分我已经说出来了，其余部分不重要。

[scnace]

想知道什么产品 +1

[ryd994]

“你什么态度” 不能这样讲话。
工作沟通，少讲观点，多讲事实。
“这个漏洞如果不是我而是是外人发现，后果很严重啊。甚至可能已经有人在利用了。”
你没有以为替他着急上火。他不急拉倒，报给领导。你提醒过，这就是同事义务尽到了。

[imn1]

“你什么态度”
这年头，除了对着客服，对谁都不敢说这话

[smallc2009]

这年头同事之间还居然用“你什么态度”~~你又不是他领导

[nmsl]

抄送领导

[kulove]

@ryd994
@imn1 当然，我承认我说话有问题(应该说对用户什么态度)，但是对于服务用户的产品(不是内部产品)，有那么严重的安全问题，很难心平气和...

[kulove]

@ryd994 get shell 这种还用说什么危害不成。。
删库什么的还不分分钟，或者内网渗透一波，把其他服务器也攻陷删掉。
而且啊，这么多用户身份证信息，对黑产来说应该是个不小的诱惑。

[kulove]

@hellowes 那要看什么问题，很多小逻辑问题，xss,csrf 之类的我都不会说的，但如果是 get shell,sql 注入这种，那么真的想问职业素养在哪里？？

[Foxkeh]

失败的沟通

[duan602728596]

啥也不想说了，这就是干活没有脑子

[kulove]

@hellowes 对了，虽说这个 shell 是登陆后才能获取到，但是我有其他的方法可以绕过，日志又如何查到呢？
再者说，如果要搞破坏，库都拖完了有什么用？还有多重代理怎么查？谁会给查？

[xiaohuamao]

有事说事，就是领导，也不能随便用你什么态度压人

[kulove]

@xiaohuamao 注意审题，我这里的态度和他理解的态度并不一样，当然，太激动导致说话有问题，我认。
如果不涉及到敏感信息，利用面不是那么广，关我屁事呢？

噢对，提这个问题还有一点就是怕最后运维同事一起背锅，至于说的另一个漏洞就是开发的事了，所以那个就真的是关我屁事了。

[hellowes]

@kulove 那估计你们后端的技术架构有问题，这年头不是直接传 sql，用低版本几年前的类库，很少有这种情况。不过我也觉得楼上说的对，不要说 你什么态度，毕竟听了让人厌烦，而且对你也没有什么受益

[hellowes]

@kulove 话说你是测试吗？还是程序员？如果是测试，就要狠狠 D 他一顿

[kulove]

@hellowes 文件上传 get shell，不是测试，老实说啊，我脾气一直挺好的，但是..你能体会到对用户隐私泄露解决方案的那种态度么..

[kulove]

@hellowes 就是那种不明白 get shell 带来的危害，然后又说只有登录后才能利用，言外之意不就是这个危害不是很大么？还有解决方案啊，黑名单后缀名不是治标不治本么。。
当时真想给他一套组合拳，告诉他，我没有登陆账户也能 get shell。。

[aloyuu]

做法称赞

你同事太渣.

[loveour]

所以为什么没能说清楚“什么态度”是什么意思？想法非常好，沟通技巧稍微提高下就更好了。不过无论如何，这种对用户信息不在意的态度非常不好。

[hellowes]

@kulove 楼主对于产品非常负责任，也对用户负责。如果你们是创业公司，我觉得这种态度是很值得称赞的，但如果是普通的传统企业，有时候不必太上心，而且这也不是你的项目

[kulove]

@whoami9894 对的，危害非常大，并没有安全团队。
但是这种文件上传 get shell 对于开发来说要有基本的避免意识吧。。

[guitarkitten]

多管闲事

[munn]

这种垃圾开发同事 就应该干死丫的

[kulove]

@guitarkitten 没错，所以后面的漏洞就不说了。

有这个功夫不去找其他厂商的漏洞，还有奖励可以拿。

[37Y37]

支持楼主，支持抄送领导。

[yzkcy]

漏洞提到 cnvd，顺便写上公司官网上的联系邮箱。

[c0878]

交给白帽子呀

[famez]

做的很棒，超赞

[Martin9]

楼主很负责，但沟通的时候最好避免反问句。
我现在觉得反问句太具有侵略性了。

[kulove]

@c0878 我就是白帽子- -
@yzkcy 有时间去看看，自从乌云关闭之后就没找到类似的了

[hosea]

支持楼主。。
不过这种跨组沟通一般还是直接上级对上级好点。。
我们有个项目因为网络安全组加了一个 WAF 之后。。很多连接都被阻挡了。。联系了对面同事扯皮了快一个月。。最后还是 Leader 出面跟对面 Leader 沟通才搞定。。

[zhazi]

情智双低

[mmdsun]

发现问题是好的。只不过方式不对就会变成：刚来公司就给别人找茬？？不要刚到公司给别人一下提很多 bug，安全漏洞。

[kulove]

@hosea @37Y37 有次问领导，能不能授权下安全渗透的权限，然后领导说不要乱搞。。
所以。。

[kulove]

@zhazi 情商这个先不反驳，请问智商是怎么看出来的呢？

[mywaiting]

作为业余的安全人员，只能说这事情太常见了

不过同事嘛，熟悉的就私下聊天提一下，不熟悉的就直接丢公司安全组（假如有的话）

实话实说，安全这事情，多数的人，尤其是开发，觉得这根本不是事，与其跟其浪费心情，还不如不理不睬任其自生自灭好了，我几年前（ 12 年）发现公司某系统的一个任意文件下载漏洞，刚刚去看了一下，还在.........

Geek/Hacker 觉得这是 build a better world 的方式，但是很多人觉得这是利益相关，国人甚之

见过太多这样的事情，感觉都麻木了

发现有洞，冒险上报真是玩火的行为，反正非利益相关，爱怎么样就怎么样吧

[kulove]

@mmdsun 来公司几年了。

@Martin9 确实，比如听明白了吗？可以换成我讲明白了吗？ 哈哈哈

[mengzhuo]

他不想解决的话就跟领导报一下就好了，不用质疑态度的。

[keikeizhang]

虽然不清楚是什么产品，不过楼主为用户着想的做法非常值得称道！

我有一个发生在自己身上的教训分享给您。在工作了差不多十年后，我在某种巧合下认识到自己说话的方式不对，会给同事带来压力，有时同事会因为感觉受到指责而产生防御性的反应。您身上可能也存在这个问题，或许可以从我的教训中得到一点提示。

祝好！

-----------------

me too 引以为戒 可以好难改
@PP

[ryd994]

@kulove 你是要争个高下，还是要把事情办成？
你觉得天经地义，别人不一定这么想。
你和他吵，只会把他树到对立面上。本来可以办好的事情也办不成了。
你们之间有根本性的矛盾么？大家都是打工的，都是在同一间公司打工。而且又不是直接的竞争关系。应该说没有不可调和的矛盾。能提醒是情分，不提醒直接上报是本分。
但是无论如何你没有权力对他的工作过多干涉，他不是你的下属。就算是下属也最好不要，因为大家都是打工仔，下属不是奴隶。

工作沟通讲究客观，不带个人感情，我觉得这是专业性的体现。

在 oncall 中，这一点更加重要。生产环境出故障了，大家都很急，讲话顾不上礼貌。同时又涉及很多小组。说实话大家都想甩锅。但是如果全都在推卸责任打嘴炮，最终大家一起倒霉。说话能以客观事实为中心，那就算语气不好，别人也无话可说。高效地修复问题，这才是第一要务。

[jmc891205]

是你们公司制度的问题 没有为这种跨组的合作建立一套沟通机制

[xiaozi0906]

看得出来，贵公司安全并不太重视，如果是互联网公司，早晚得付出代价。
发现问题，思考如何去解决问题，而不是问"你什么态度"，遇到脾气冲一点的，是没有好处的，解决不了问题。
可以把问题升级，反馈给项目经理，不行再把级别升上去。

站在企业安全管理的角度，你挖几个漏洞而已，也解决不了核心问题，缺的是项目上线前的安全测试流程，缺的是对安全的重视程度。

[kulove]

@ryd994 这个与我利益无关，提出了也不会有一毛钱的好处，并没有和他吵，如果不是觉得对方的态度问题，是不会这么说的。
提出解决方案也不属于对他的工作过多干涉。后面说了既然讲专业性，那么我说的应该蛮客观的，什么危害都讲了，别人一句登陆后才能获取怎么搞？。。当场给绕过打脸么？。

[kulove]

@xiaozi0906 重视程度这个不是一朝一夕形成的，在我看来 get shell 的漏洞就是核心问题，解决这个安全就提升几个等级了。。

[wupher]

1. 匿名发到 github 上
2. 转发至公司的开发大群里面

[183shl]

刚来公司，已经发现很多系统存在的漏洞了，现在写的这个项目也有越权，但是刚来还是个实习，说了也不重视，的确非自身利益说多了还得罪人，项目用户量蛮大的，还有各种企业用户。

[houzhimeng]

不对吧，公司应该报警 抓捕你这发现漏洞的人啊？

[TheWalkingDead]

楼主绝对情智双低。
活了大半辈子，从来没见过情商低到跟别人说“你什么态度”这种话的人。

[xiaozi0906]

@kulove 拿几个危害严重的漏洞作为案例，试图帮助公司去建立一个项目安全测试的流程，也是一个发挥你才能的一个机会。

在我看来，这就是一个后台任意文件上传，很多新系统都可能遇到，可以站在程序员的角度帮助他们一起解决。
你提出的想法，在程序员那里更多的会理解是要求，特别是变更代码量多，会造成他们的压力。
可以尝试探讨一下，代码是怎么写的，然后提出你的想法，可能这样写会更安全一些。

[kulove]

@TheWalkingDead 这句话说错了我认，没办法，说出去的话泼出去的水。

[lizhenda]

说楼主情商低的我同意，lz 自己也没反驳，那些说智商的低我的就笑了，在这里找优越感？别人是白帽子哎，嘲讽别人带点脑子呀

[lizhenda]

对于那个同事，俗话说别去叫醒一个装睡的人，你提醒了已经仁义至尽，还去帮忙想解决办法就有点过于热心了，这种一般人自负或者嫌麻烦的人是不喜的。所以第一时间察觉了对方对待这件事的态度，那就适可而止，看清了对方对技术和产品是个什么态度，自己心里明了了，以后就知道该怎么打交道了，道不同不相为谋。

[ryd994]

@kulove 你不是他领导，就没有权力干涉，也没有权力评价他的工作质量。这是他领导的工作。他工作有什么问题当然向他领导反映，打狗还要看主人呢。
真的不爽的话，复现一次，留下记录。邮件发给他，抄送自己和他双方领导。事先口头和领导通个气。他领导自然会治他，他领导不治他你领导就能治他领导。
他再不爽，也得表面上谢谢你。事后耍阴的那也没办法了，谁叫你非要去出这个头结仇呢？
如果谁都不管，那你就更不用操心了。有书面存档的事情，出了事活该他的。

[kulove]

@xiaozi0906 有的，曾经拿系统做了安全测试，列出了几个严重漏洞案例以及危害。然而并没有人在意。

[William13]

头像是 wow ？

[kulove]

@ryd994 这个..我们是在讨论解决方案啊..这不叫干涉吧...当然不会干涉别人的工作啊..

[kulove]

@William13 没记错的话应该是看火人的截图。

[bk201]

@kulove 歪个楼，怎么入门白帽子- -

[DANG]

老哥如果你是给人家打工的，就要认清自己打工者的身份。工作其实就是一个获取最大利益的过程，有的事其实同事们都知道是咋回事，但是只要他们自己不说不做，就不会担责任。如果你有实权，那就直接去组织解决；如果没有实权，那希望你可以上报给领导，并且说明严重性以及影响，并依据领导的指示行动。对于同事，你只需要抛出问题，既然你没有权力去增加同事的工作量，那就尽量不要体现主人翁意识，否则你会对其他人带来很大的困扰。

[0myun]

@kulove #8 不是还有补天 漏洞盒子之类的么

[kulove]

@bk201 可以先看看这个：知道创宇研发技能表 v3.1 http://blog.knownsec.com/Knownsec_RD_Checklist/v3.1.html#

[UxCZbWShjEsL]

我都是找测试和产品去和开发讲的，大部分问题他们都是知道的，不乐意改

[Sevenskey]

不明白为什么楼里有人攻击楼主智商低，我也是活了小半辈子从来没见过莫名其妙就攻击别人智商低的人。

[kulove]

@0myun 还有一点就是白帽子在国内还属于灰色边缘行业，参考世纪佳缘，有风险的。
而且这种公司内部的漏洞，发出去也不合适。以后不提就好了。

[httplife]

为楼主行为点赞.
人与人之间的差距, 某些程度上来说, 取决于态度.

[jssyxzy]

在公司就要遵守一定的程序和规范，不然就乱了。
你可以和他沟通，沟通不了可以抄送他上级；
甚至严重的漏洞可以 cc 各个大领导。

但是你没有必要去和他争，甚至指责他。

[kulove]

@DANG 这些大道理都懂，但是呢，像这种漏洞啊，应该是一个工程师最基本的职业素养吧？
这种东西考虑不到，那么是不是不合格呢？如果都知道却不修改，那肯定是不合格的。
事关那么多人的隐私泄露我又怎么可以当做没看到呢？况且啊，这不只是隐私泄露，对于互联网产品而言，往大了说是可以导致公司倒闭的。

[DANG]

@kulove 所以你一定要获得领导的授权，引起领导的重视，只有把这种责任感转化为上司的指令，才能顺利的解决这个问题

[kulove]

@DANG sorry，看了下上面没提到，是先跟领导说明了情况的，过后另一个项目组的同事才来了解情况。

[tutusolo]

@kulove 合不合格你也评判不了, 这不是你开的公司, 要认清自己所处的位置, 发现了 bug 就得改? bug 也有优先级, 也要有排期, 也要安排人手去干. 这些不还是得他们干, 再者说, 他出了 bug, 周报月报怎么搞, 绩效怎么算. 你这变相的是侵犯别人的利益, 很多很多公司都有安全问题, 小公司 以业务发展为主, 哪里来的竞争对手搞他. 大公司有自己的安全组, 安全问题是他们的事情 跟你八竿子打不着的事情.

反正听意思感觉你像是刚刚毕业的菜鸟, 对什么都抱不平,职场老油条都是守住自己一亩三分地, 事不关己高高挂起

[hellowes]

#94 表示认同
其实我觉得小公司不可能所有事情都特别理想，除非有无尽的时间和钱

[kulove]

@tutusolo 不好意思，请先去了解下 get shell 的危害，再来说是否需要排优先级。
还哪来的公司来搞他。。真不知道你是怎么说出这番话的。
还有做人呐，总是要有点坚守的，看来你并没有。

[southsala]

失败的沟通，俩人都比较暴躁，

[tutusolo]

@kulove

git shell 我应该比你懂, 在十年前我就知道了

危害? 那请问为何到现在都没暴露出来, 如果暴露出来了, 公司领导层不可能不重视,不可能还任由 bug 存在

照这样说就是还没爆料出来, 那么,危害再大有什么用??? 你不要跟我说什么潜在危害, 潜在的东西多了去了, 这个东西一定就是他搞出来的?? 还你什么态度, 换做是我 不把你揍的鼻青脸肿已经对的起你了

我并不知道你们公司的体量有多大 我说的是一般的小公司 很少有小公司被搞 看清楚字眼再来回复

我觉得你情商真的很低, 你做人的底线侵犯了我的利益, 没对你拳打脚踢已经够对的起你了

你可以坚守你的底线 但是前提不要去侵犯我的利益

[reself]

楼主值得赞扬，但说话的方式需要改进。说话是一门艺术，是很重要的，你自己想表达的和别人接收到的一定是有偏差的，偏差大小根据不同的表达方式而不同。
"我的意思是对用户隐私的态度，而他却理解成了说话的语气以及方式"，这不和我们自己都讨厌的"我是你妈我是为你好哪怕我语气不好你也得听我的"一样了吗？
至于安全，看看乌云的下场。想做白帽子是不行了，以后还是闷声发大财吧。

[kulove]

@tutusolo 首先，我是作为用户使用过程中发现的，既然是我发现把这个问题暴露出去没什么不妥吧？
其次，你哪只眼睛看到我说这个漏洞是他搞出来的了？？