内容摘要：去年冬天，我陪朋友去一家漏洞检测机构送检一套智能门锁。接待的人穿着格子衫，桌上摆着三台不同型号的路由器，其中一台的壳子被拆开，天线耷拉着。他接过门锁，没急着拆，先问了一句：“这锁连不连云？”朋友说连。

去年冬天，漏洞我陪朋友去一家漏洞检测机构送检一套智能门锁。检测机构接待的漏洞人穿着格子衫，桌上摆着三台不同型号的检测机构路由器，其中一台的漏洞壳子被拆开，天线耷拉着。检测机构他接过门锁，漏洞没急着拆，检测机构先问了一句：“这锁连不连云？漏洞”朋友说连。他就笑了，检测机构说那先看App吧，漏洞硬件最后再动。检测机构

这反应挺典型。漏洞漏洞检测机构干活，检测机构顺序往往跟外人想的漏洞不一样。普通人觉得该先撬锁、拆芯片、看电路板，但真正做安全评估的人知道，最薄弱的环节通常在通信协议和后台接口。一把锁的物理防护再强，如果App登录接口能爆破，或者固件升级包没签名，那跟没锁差不多。

那家机构不大，藏在写字楼里，门口连招牌都没挂。进去之后倒挺热闹，有人对着屏幕抓包，有人拿热风枪吹芯片，角落里还有台示波器在跑波形。他们接的活儿很杂：智能家居、车机系统、工业PLC、甚至医院的输液泵。有次我问他们最怕测什么，一个工程师头也没抬，说：“怕测那种厂家自己都不知道代码怎么写的祖传项目。”他刚从一个跑了十五年的工控系统里翻出三个内存越界漏洞，补丁没法打，因为原厂已经倒闭了。

漏洞检测这行，工具只是辅助。Burp Suite、IDA Pro、Ghidra这些大家都用，但真正拉开差距的是思路。比如测一个蓝牙锁，有人上来就跑爆破脚本，有人会先看蓝牙芯片的型号，去翻芯片手册，找有没有已知的调试接口没关。后者往往更快出结果。我见过一个案例：某品牌共享单车锁，检测员没动任何破解工具，只是用手机连上锁的蓝牙，发现它广播的服务UUID里藏着一个可写特征值，写进去就能直接开锁。整个过程不到两分钟。厂家后来解释说是“调试遗留”，但漏洞就是漏洞，跟意图无关。

报告怎么写，也是门学问。检测机构出的报告，不是给技术人看的，是给厂商的法务、市场、甚至老板看的。所以得把“缓冲区溢出”翻译成“攻击者可远程让设备死机”，把“硬编码密钥”说成“所有同型号设备可被批量控制”。有个机构的报告模板里，每个漏洞后面都跟着“业务影响”和“修复建议”，修复建议写得像菜谱：先关哪个端口，再改哪行配置，最后怎么验证。厂商照着做就行，不用懂原理。

但也不是所有厂商都领情。有次一家做智能摄像头的公司收到报告，第一反应是问：“你们怎么证明这个漏洞能被利用？”检测员没废话，当场用他们自己的摄像头演示了一遍：远程看到画面、转动云台、甚至打开麦克风。厂商代表脸都白了。后来那批货全召回了。这事在圈子里传开，有人说检测机构太狠，但更多人觉得，不狠不行。安全这事，糊弄不过去。

我后来问那个格子衫，干这行最累的是什么。他说不是挖漏洞，是跟人解释漏洞为什么必须修。“有些厂商觉得，只要没人发现就不算漏洞。但漏洞检测机构的存在，就是让‘没人发现’变成‘有人发现了，而且告诉你了’。”他说完，又低头去拆那台智能门锁，螺丝刀在手里转了一圈，像在找下刀的地方。