2023年4月，国内一个叫MOVEit的外漏文件传输软件爆出SQL注入漏洞。这个漏洞最终影响了超过2600家企业，国内连英国BBC、外漏壳牌石油都没躲过。国内攻击者甚至没用什么高深技术，外漏就是国内往参数里塞了几个单引号。事后调查发现，外漏这个漏洞在2019年就存在了，国内整整躺了四年没人发现。外漏

国内的国内情况也没好到哪去。去年某省级政务系统被拖库，外漏黑客拿到的国内数据里居然包含公民身份证照片。溯源时发现，外漏漏洞出在一个早就停更的国内旧版中间件上。运维人员知道有漏洞，但觉得"反正内网访问，应该没人能打进来"。结果攻击者是通过一个外包商的VPN进来的，那个VPN账号的密码是Admin@123。

国内外漏洞有个挺有意思的差异。国外漏洞披露后，厂商通常48小时内出补丁，然后安全社区会疯狂分析利用代码。国内很多厂商第一反应是删帖、封口，甚至报警抓发漏洞的人。2019年某国产数据库被爆出远程代码执行漏洞，安全研究员联系厂商后，对方第一句话是"你怎么证明不是你黑的"。这种态度直接导致很多白帽子宁愿把漏洞卖给黑产，也不愿意走官方渠道。

但要说国内完全没进步，那也不客观。现在头部互联网公司的SRC（安全响应中心）已经做得相当规范，挖洞给钱痛快，修复也快。真正拉胯的是那些传统行业——医院、学校、中小企业。他们买的防火墙、WAF基本就是摆设，配置完就不管了。我认识的一个安全工程师说，他去某三甲医院做渗透测试，发现对方的内网系统连补丁都不打，Windows 7还在跑挂号系统。

国外漏洞利用更偏向"精准打击"，比如针对特定行业定制攻击链。国内黑产则更"简单粗暴"，专挑弱口令和未授权访问。去年国内某云平台被薅羊毛，黑客根本没用什么0day，就是扫到了几个没设密码的Redis实例。这玩意儿在国外早就是常识性错误了，但国内很多开发连Redis要设密码都不知道。

还有个容易被忽略的点——漏洞披露机制。国外有CVE编号、有NVD数据库、有厂商的致谢名单，白帽子挖到漏洞能写进简历。国内虽然有CNNVD，但收录速度慢，很多厂商不配合。这就导致一个奇怪现象：国内安全研究员更愿意去挖国外软件的漏洞，因为"有成就感，还能赚钱"。而国内软件漏洞，要么烂在手里，要么卖给黑产。

说到底，漏洞本身不可怕，可怕的是对待漏洞的态度。国外是把漏洞当"需要治的病"，国内很多企业是把漏洞当"不能说的丑闻"。这个观念不转变，光靠买设备、堆人力，治标不治本。