三万个暴露面，在等一个Clop

三万个暴露在公网的存储实例，一条处理不当的 HTTP 重定向，一个写进应用根目录的 ASPX 后门——Progress ShareFile 的这组新漏洞，把企业文件传输这个“老赛道”再次推到了聚光灯下。

本文的核心判断是：这不是一次孤立的技术事件。认证绕过叠加远程代码执行的组合、勒索组织 Clop 多年来的“菜单”轨迹、以及暴露面统计背后“三万对七百”的口径落差，共同指向一个结构性事实——文件传输平台仍会是勒索团伙的首选猎场，而多数企业的防御动作，还停留在等补丁。

⚙️ 一条重定向，撬开整个存储区

最坚固的门，往往是被自己的门卫放走的。

watchTowr 的研究人员这次盯上的，是 ShareFile 5.x 分支中的 Storage Zones Controller（存储区域控制器，SZC）组件。这个组件的定位很关键：它允许企业把数据存放在自有基础设施——本地机房或第三方云——而不是 Progress 官方系统里，以此换取更强的数据控制权。换句话说，选择 SZC 的客户，往往正是数据敏感度更高的那一批大中型企业。

漏洞一共两枚：

处置时间线大致如下：

• 2 月 6 日至 13 日：watchTowr 发现两处漏洞
• 完成负责任漏洞披露，通报 Progress
• Progress 发布 ShareFile 5.12.4 修复上述问题

单看任何一枚漏洞，都不算石破天惊。真正值得琢磨的是组合方式：

这条攻击链的精妙之处在于“自我供能”。按正常路径，攻击者需要生成合法的 HMAC 签名，并提取、解密内部密钥，门槛不低；但拿下管理后台后，文件存储路径、区域密钥这些敏感配置项都可以被改写——等于攻击者自己给自己发了钥匙。两枚漏洞互为阶梯，最终把“读文件”升级成了“执行任意代码”。

补丁是发了，问题在于：装上的是谁？

📜 Clop 的菜单上，从不缺这一类 🎯

如果说漏洞是子弹，Clop 早就给这类平台建好了弹药库。

素材点名的名单读起来像一部编年史：Accellion FTA、SolarWinds Serv-U、Gladinet CentreStack、GoAnywhere MFT、MOVEit Transfer、Cleo——全部被 Clop 利用实施过大规模数据窃取。这类文件传输平台历来是勒索软件团伙的重点目标，MOVEit Transfer 的连锁事件更是至今仍被反复复盘的教科书案例。

把这些产品放进“攻击者价值坐标系”，规律一目了然：

这个赛道的病根，业内早有共识。一线应急圈流传的一句话是：每出一个文件传输漏洞，头七十二小时就是抢跑窗口——攻击者在抢数据，防守方在抢补丁。

产业逻辑上，Clop 的选择极其理性：这类平台是企业数据的单点枢纽，一份副本汇聚所有业务线的敏感文件，打穿一个实例的收益，可能抵得上逐家渗透十家企业。对攻击者而言，文件传输软件不是“目标之一”，而是“赛道本身”。ShareFile 被盯上，几乎是注定的。

🌐 三万对七百：暴露面的口径之谜

数字会说谎，尤其是在扫描报告里。

这次披露中有两个耐人寻味的数据：watchTowr 的扫描结果显示，约 3 万个存储区域控制器实例暴露在公网；而 ShadowServer 基金会监测到的、可公网访问的 ShareFile 实例约为 700 台，大部分位于美国和欧洲地区。

三万和七百，差了四十多倍。怎么理解？

一个解释来自架构本身。SZC 支持客户自托管，大量实例部署在防火墙、VPN 或反向代理之后——扫描器能看到“存在”，却无法完成完整交互。另一个解释是统计口径：watchTowr 识别的是暴露面，ShadowServer 验证的是可达性。两者都没错，但结论完全不同。

🔍 真正的风险，恰恰藏在水线之下：那两万九千多个“扫描可见但暂不可直接访问”的实例，一旦某台跳板机被拿下、某个分支办公室的边界配置松了、或攻击者从内网横向抵达，它们立刻从“存量暴露”翻转为“现役入口”。安全团队如果只盯着 700 这个“可达数”排优先级，很容易漏掉真正的定时炸弹。

数据安全合规的视角同样适用：无论实例当前是否可达，公网暴露本身在多数监管框架下都需要给出理由。企业该问的不是“我能被扫到吗”，而是“这台机器凭什么在公网”。

🧭 补丁之外：结构病要怎么治 🛠️

补丁治标，架构治本，数据分级治心。

对本次事件，动作清单其实很清晰：所有部署了 Storage Zones Controller 的企业应尽快升级到 ShareFile 5.12.4；在此之前先做暴露面盘点，确认哪些实例可达公网；升级完成后排查存储区域配置是否被篡改过——这条攻击链的支点就是改配置拿密钥，历史篡改不会因为打了补丁而消失。

但把镜头拉远，文件传输平台的结构性问题需要更系统的答案：

其一，部署在边界区的应用要按“假设会被打穿”设计。上传与解压功能是天然的 RCE 温床，解压校验、路径隔离、异常文件落盘告警，应该是产品默认能力，而不是事后补丁。

其二，密钥与配置变更必须上监控。本次利用链里，攻击者修改存储路径和区域密钥是整场攻击的支点——管理面的这类操作如果有不可绕过的审计与告警，攻击成本会陡增。

其三，数据分级要前置。不是所有文件都需要经过中转平台，把最敏感的数据留在传输枢纽之外，等于给最坏情况上了保险。

一句话：企业采购这类平台时，真正该问厂商的是“你被打穿之后，我的损失上限是多少”，而不是“你有多少项认证”。

小结

ShareFile 这组漏洞，技术上并不新鲜——重定向缺陷、解压滥用都是老套路，但组合之后的未认证 RCE，再次验证了文件传输赛道在攻击者眼中的“性价比”。三万暴露实例就是一份现成的目标清单，而 Clop 们的历史证明，他们从不缺席这类机会。对防守方而言，真正的分水岭不在补丁速度，而在暴露面治理与数据分级的日常功课。下一个 MoveIt 时刻会不会来？答案取决于这三万个实例的主人，接下来七十二小时做什么。