内容摘要：2017年5月12日，英国一名22岁的安全研究员马库斯·哈钦斯在推特上发了一句话：“我可能不小心关掉了全球的勒索病毒。”他当时正在度假，朋友打电话说医院系统瘫了，他随手注册了一个域名，结果那个域名触发

2017年5月12日，漏洞英国一名22岁的漏洞安全研究员马库斯·哈钦斯在推特上发了一句话：“我可能不小心关掉了全球的勒索病毒。”他当时正在度假，漏洞朋友打电话说医院系统瘫了，漏洞他随手注册了一个域名，漏洞结果那个域名触发了WannaCry病毒的漏洞内置开关——病毒停止加密。这不是漏洞段子，是漏洞真实发生的。一个漏洞，漏洞让150个国家的漏洞30万台电脑在几小时内变成砖头。而阻止它的漏洞，不是漏洞微软的补丁，不是漏洞国家安全局的武器库，是漏洞一个年轻人花8英镑买下的域名。

漏洞这东西，漏洞听起来像技术术语，其实更像生活里的裂缝。你家的防盗门装得再结实，门框和墙之间如果有一条两毫米的缝，一根铁丝就能拨开锁舌。软件也一样。代码是人写的，人就会犯错。一个数组越界、一个忘记校验的输入框、一个默认开启的调试端口，都可能变成那根铁丝。

我见过最离谱的漏洞不在银行系统里，在一家连锁奶茶店的点单小程序上。输入手机号领优惠券的页面，把手机号参数改一下，就能领到别人的券。再改一下，能领到无限张。程序员大概觉得“没人会去改URL吧”。但总会有人改的。不是因为他坏，是因为他好奇。好奇心是漏洞最好的朋友。

很多人以为漏洞是“被黑客发现的”，其实大多数漏洞是自己冒出来的。系统升级、业务改版、第三方库更新，每一次变动都可能撕开新的口子。2014年，OpenSSL的“心脏出血”漏洞，一个叫“心跳”的扩展功能里，少做了一次长度检查，攻击者就能从服务器内存里一页一页读出密码和私钥。这个漏洞存在了两年多，没人注意到。直到有人用工具扫了一遍，整个互联网才发现自己一直在裸奔。

修补漏洞的速度，往往赶不上新漏洞出现的速度。微软每个月第二个周二发补丁，叫“补丁星期二”。安全圈的人开玩笑说，星期三就是“漏洞星期三”——因为攻击者会立刻分析补丁，反推出漏洞细节，然后赶在别人打补丁之前发起攻击。这个时间差，短则几小时，长则几天。对黑客来说，够了。

更麻烦的是，有些漏洞根本没法修。工业控制系统、医疗设备、老旧的ATM机，用的还是Windows XP甚至更早的系统。你没法给一台正在做心脏手术的机器打补丁。厂商也知道，但换设备的成本太高，于是大家默契地假装问题不存在。直到有人把漏洞利用代码扔到网上。

漏洞不会消失。只要还有代码，还有人在写代码，裂缝就会一直在。区别只在于，你是先发现它的人，还是被它绊倒的人。那个英国研究员后来被请去美国，国会问他怎么做到的。他说：“我只是买了个域名。”听起来像运气，其实是必然。漏洞一直在那里，等着有人去碰。