但是，自己建的运行平台稳定了以后不会保持时刻同步更新的。
还有些主要开源组件，有时候会有大版本更新，好多特性会有增减。这种版本依赖没办法。
我以前一直的概念里，漏扫是从外部嗅探攻击的，用已知漏洞库从外部扫描验证的。

【 在 archblue 的大作中提到: 】
: 漏扫不都这样吗？
: 肯定要保证关键组件最新啊，否则那些cve怎么修补上。。。
:
--
FROM 166.111.35.*

一般不是补不上就不补了，挡住就行了吗。
比如我的系统里有内部的postgresql服务，只给我自己的几个应用存内部数据，防火墙上把端口都封了。那我弱密码就弱密码，旧版本就旧版本，有什么危险呢？

例如我的系统平台3年前建，用的kafka0.8，现在都3.1了，后台服务依赖都二合一了，外部API也几乎全变了，0.8官方也停止维护有一阵了。正常做法不应该是把Kafka的内部通信跟外部全封掉，完全对外隐蔽苟着么？
现在要是强制要我升级到3.1，那所有系统都得重新开发测试一轮。
不知道谁来背锅，反正开发的售后只管1年。



【 在 archblue 的大作中提到: 】
: 漏扫不都这样吗？
: 肯定要保证关键组件最新啊，否则那些cve怎么修补上。。。
:
--
修改:dukenuke FROM 166.111.35.*
FROM 166.111.35.*