三年前，漏洞我们给一家制造企业做工业软件升级，修复客户突然甩过来一个老系统的不需崩溃日志，说必须在下个季度前修好。源码那套系统是漏洞2008年用VB6写的，原开发团队早散了，修复连编译环境都装在Windows XP的不需虚拟机里。我们翻遍整个项目目录，源码只找到一份残缺的漏洞PDB符号文件，源码？修复不存在的。

很多人以为漏洞修复必须拿到源代码，不需像改作文一样在原文上划几笔。源码现实不是漏洞这样。那次我们靠的修复是反汇编和动态调试，把出错的不需函数从机器码里硬生生还原出逻辑，然后在内存里打补丁。你问我不改源码怎么修？直接改二进制，改完重新计算校验和，覆盖部署。系统活了，客户也不知道我们根本没碰过“源代码”——因为压根没有。

这类操作在工业界叫“热补丁”或者“二进制补丁”，安全圈更常叫“运行时修复”。原理不玄乎：程序跑在内存里，你找到那个出错的跳转指令，把它改成NOP（空操作），或者直接跳到你注入的修复代码块里。前提是你得懂汇编，还得有足够的耐心去跟踪堆栈和寄存器。我见过最野的修法，是有人在生产环境的Oracle数据库里，用触发器去拦截一条会触发bug的SQL，然后改写它的执行计划——这算不算修漏洞？当然算。

但话说回来，没源码修漏洞，更像是在给病人做手术时不看病历，只凭CT片和触诊下刀。你永远不知道那个补丁会不会在某个边缘输入下引发新的崩溃。有一次我们给一个老工控协议栈打补丁，修好了一个缓冲区溢出，结果三个月后客户说某些极端温度数据下设备会重启。查了半天，原来我改的那个跳转指令正好踩在另一个未公开特性的执行路径上。要是源码在手，翻翻注释就能避开这种坑。可没有源码，你只能靠灰度部署和大量回归测试来兜底。

有人会问，那开源软件总得有源码吧？其实未必。很多公司把开源代码改得面目全非后内部使用，外面的漏洞库报了个CVE，他们拿补丁包去比对，发现自己的分支根本合不上。我见过一个团队，直接把GitHub上的官方补丁diff文件拿来，用脚本强行应用到他们魔改过的代码上，结果冲突了几百处，最后干脆手写一个等价修复，插在公共函数入口处。你说他们修的是源码？严格讲，他们修的是自己维护的那份“私有分叉”。

所以“漏洞修复不需要源码么”这个问题，答案不是简单的要或不要。商业软件、闭源驱动、遗留系统，这些场景下没源码是常态，修的是行为而不是代码。但代价是你得付出更多验证成本，而且有些漏洞类型——比如逻辑漏洞、权限绕过——不看源码几乎没法定位，只能靠黑盒fuzzing和猜测。我的主观判断是：能拿到源码就一定要拿，拿不到也别慌，但别把二进制修补当万能药。它更像是止血带，不是疫苗。真正稳妥的做法是，在系统设计时就留好可观测性和热升级接口，别等到出事那天才翻找反汇编器。