内容摘要：去年冬天，某三甲医院的信息科主任给我看了一份内部通报。一个刚毕业的运维工程师，在测试环境里留了一个默认口令，结果测试库和部分生产库的网络是通的。三个月后，勒索病毒从这个口子进来，锁死了门诊挂号系统。医

去年冬天，漏洞隐患某三甲医院的漏洞隐患信息科主任给我看了一份内部通报。一个刚毕业的漏洞隐患运维工程师，在测试环境里留了一个默认口令，漏洞隐患结果测试库和部分生产库的漏洞隐患网络是通的。三个月后，漏洞隐患勒索病毒从这个口子进来，漏洞隐患锁死了门诊挂号系统。漏洞隐患医院停诊四小时，漏洞隐患损失按分钟算。漏洞隐患这个漏洞本身不复杂，漏洞隐患甚至有点蠢——但就是漏洞隐患这种“蠢”，撕开了安全防线最脆弱的漏洞隐患那层纸。

漏洞这东西，漏洞隐患从来不是漏洞隐患靠技术难度分级的。真正要命的，往往是那些你觉得“不可能出事”的地方。我见过一个电商平台，风控系统做得滴水不漏，结果被薅羊毛薅到崩溃，原因出在优惠券接口没做频率限制。攻击者用最笨的脚本，一秒请求两百次，硬生生把库存刷空。开发团队后来复盘，说“当时觉得这个接口只有App端会调，谁会去抓包啊”。这种侥幸心理，比任何0day漏洞都危险。

隐患的另一个名字叫“历史遗留”。很多系统跑了五六年，代码叠了七八层，最初写登录模块的人早离职了。新来的程序员不敢动老代码，只能在外面裹一层又一层补丁。补丁本身可能就是新漏洞。我认识一个做渗透测试的朋友，他最喜欢找那种“注释掉但没删掉”的代码段。里面有硬编码的数据库密码、测试用的万能验证码、甚至还有前员工留下的后门账号。这些东西在代码仓库里躺了几年，没人看，没人管，直到有人翻出来。

更隐蔽的是逻辑漏洞。技术漏洞可以扫出来，逻辑漏洞只能靠人想。比如某银行的转账接口，校验了单笔限额，但没校验当天累计。攻击者把一笔大额拆成几十笔小额，每笔都合规，加起来把账户掏空。这种漏洞没有报警，没有异常日志，因为每一步操作在系统看来都是“正常”的。写代码的人默认用户会按设计流程走，可攻击者从来不按套路出牌。

说个我自己的观察。很多团队修漏洞的方式是“打地鼠”——哪冒出来打哪。今天补了SQL注入，明天又冒出个XSS。根子不在技术，在流程。没有代码审计，没有上线前的安全测试，没有定期的渗透演练。开发赶进度，安全靠运气。一个项目从立项到上线，安全评审可能只占半天，还是走个过场。这种环境下，漏洞不是“有没有”的问题，是“什么时候爆”的问题。

还有一点常被忽略：人的隐患。再好的系统，架不住内部人员把账号密码写在便利贴上，贴在显示器边框。或者为了图方便，开个VPN共享给同事。社会工程学攻击能成功，往往不是因为技术多高明，而是因为人太累了、太忙了、太信任别人了。安全培训年年做，但真正听进去的没几个。大家总觉得“这事不会轮到我”。

写这些不是要制造焦虑。漏洞和隐患是软件工程的常态，没有绝对安全的系统。但至少得知道风险在哪，别假装看不见。那个医院的信息科主任后来跟我说，他们现在每周做一次内部扫描，每月一次红蓝对抗。虽然还是会有新问题，但至少不会让一个默认口令毁掉整个门诊楼。这话听着朴素，但比任何安全白皮书都实在。