代码审计里的备份与勒索防护：六个检查点

影子副本与快照放在同一存储上，存储被毁的时候会一起消失

正着读代码容易漏，因为入口太多；反着找危险点，数据流只有那么几条。

先说结论

先列危险点，再回溯入口，最后确认校验与权限。

• 检查点一：所有外部入口是否都过统一校验
• 检查点二：危险函数是否集中封装
• 检查点三：校验是否只做一次、是否白名单
• 检查点四：权限判断是否在服务端
• 检查点五：错误信息是否泄露内部细节
• 检查点六：是否有兜底日志

检查点一：入口

不可写介质比如合规保留的对象存储、磁带、只读快照，才是最后一道，备份服务器通常是第一批目标，离线才作数。

把入口列全：HTTP 参数、请求头、上传、消息队列、定时任务的外部输入。漏一个就白审。

检查点二：危险点

备份任务成功不等于能恢复，RPO 与 RTO 只能靠真实演练来证明，演练记录要能交给审计，数据要能对上。

检查点三：校验逻辑

域账号被盗之后备份系统往往一起沦陷，备份要有独立的凭据体系，权限与网络都要分开，别共用一套。

看到「先替换再校验」「只在一个接口校验」这两种写法，基本可以直接标红。

这个问题的几个审计细节

实际代码里最容易漏的几处：

• 影子副本与快照放在同一存储上，存储被毁的时候会一起消失

检查点四到六

影子副本与快照放在同一存储上，存储被毁的时候会一起消失。

越权是审计里性价比最高的方向：少一行判断，就是一个中高危。错误信息要统一，日志要记入口摘要。

再补充几点

这几条不改变结论，但会改变你评估风险时的顺序。

• 勒索软件会先找挂载着的备份盘，在线备份与生产数据一起被加密是常态
• 恢复演练要记录实际耗时，第一次通常比预估慢三倍以上
• 备份盘长期挂载在服务器上，一键全被加密
• 只验证备份任务成功，从来没有做过恢复
• 备份系统与生产共用一套域账号，一起沦陷

审计的产出不是「找到几个洞」，是「知道这类洞在哪个模式里反复出现」。