凌晨三点十七分，寻找李维盯着屏幕上跳动的漏洞光标，手指在键盘上停了整整四分钟。寻找他刚发现的漏洞那个漏洞藏在某政务系统的人脸识别模块里——上传一张经过特殊处理的照片，就能绕过活体检测。寻找换成别人可能已经截图发朋友圈了，漏洞但他只是寻找把测试过程录了屏，然后关掉终端，漏洞泡了碗方便面。寻找

漏洞挖掘这行有个不成文的漏洞规矩：你找到的东西，先别急着喊出来。寻找李维入行六年，漏洞见过太多同行因为过早公开漏洞被请去喝茶，寻找也见过厂商连夜发补丁然后假装什么都没发生。漏洞他现在的寻找习惯是，先写一份详细的报告，把复现步骤、影响范围、修复建议列清楚，再通过正规渠道提交。剩下的，就看对方什么时候回复。

这次不一样。那个政务系统的厂商三天没回邮件。李维又发了一遍，附上了更完整的测试视频。第五天，对方终于回了，措辞很客气，说“已转交技术部门核实”。然后又是两周的沉默。李维知道这意味着什么——要么他们没当回事，要么修复排期排到了下个季度。他把报告加密存好，在日历上标了个提醒：三十天后如果还没动静，就找CNVD（国家信息安全漏洞共享平台）报备。

等待的日子里他也没闲着。白天在安全公司做渗透测试，晚上回家继续挖自己的“私活”。他偏爱那些看起来不起眼的小系统——地方医院的挂号平台、连锁酒店的会员后台、某款小众但用户量不小的记账App。大厂的安全团队越来越强，反倒是这些边缘系统，往往连最基本的输入过滤都没做。上个月他就在一个县级图书馆的借阅系统里找到了SQL注入，数据库里躺着三万条读者信息，包括身份证号和手机号。

“你图什么？”他女朋友问过。李维想了想，说：“就像有人喜欢钓鱼，有人喜欢拼图。我就是想看看，那些看起来严丝合缝的东西，到底哪里会裂开。”他没说的是，每次提交漏洞后收到厂商的感谢邮件，哪怕只有一句“已修复”，那种感觉比拿奖金还踏实。当然奖金也拿过，某次某电商平台的漏洞给了他八千块，他转头买了台新显示器。

那个政务系统的漏洞最终在第四十三天被修复了。厂商发来邮件，说“感谢您的专业与耐心”，附了一封感谢信和两千块京东卡。李维把京东卡挂二手平台卖了，钱转给了老家的父母。他打开漏洞平台，看到自己的排名又往前挪了几位，然后关掉网页，继续翻下一个目标。

这行当里没人觉得自己是英雄。李维认识的几个白帽子，有的在甲方做安全运维，有的自己开了小工作室，还有的干脆转行去卖保险了。留下来的那些人，多少都有点强迫症——看到登录框就想试试万能密码，看到上传功能就想传个webshell。他们不穿斗篷，不戴面具，大部分时间坐在格子间或者自家书房里，对着满屏的代码和流量包，像在沙滩上找特定形状的贝壳。

天快亮了。李维保存好新发现的漏洞报告草稿，合上电脑。窗外有早起的鸟在叫，楼下早餐摊的推车声由远及近。他伸了个懒腰，心想今天得早点睡——明天还要去客户现场做渗透测试，那个系统据说刚上线，估计又是一堆问题等着他。挺好，他就喜欢这种“到处都是裂缝”的感觉。