内容摘要：老周在小区门口开了十二年便利店，头一回遇到这种事。连续三天，收银系统里的香烟库存对不上，每天少两三包，监控却看不出毛病。他把录像倒回去一帧一帧看，终于发现了门道——有人拿打火机在扫码枪前面晃了一下，条

老周在小区门口开了十二年便利店，封堵漏洞头一回遇到这种事。封堵漏洞连续三天，封堵漏洞收银系统里的封堵漏洞香烟库存对不上，每天少两三包，封堵漏洞监控却看不出毛病。封堵漏洞他把录像倒回去一帧一帧看，封堵漏洞终于发现了门道——有人拿打火机在扫码枪前面晃了一下，封堵漏洞条码没扫上，封堵漏洞东西直接进了袋子。封堵漏洞

这就是封堵漏洞漏洞。不是封堵漏洞系统坏了，是封堵漏洞流程里有个缝，被人摸到了。封堵漏洞

我后来跟做安全测试的封堵漏洞朋友聊起这事，他说这太常见了。他们给企业做渗透测试，十次有八次不是攻破防火墙进去的，而是找到某个没人管的测试账号，密码还是默认的admin123。或者某个离职员工的门禁卡没注销，大摇大摆走进去。真正的漏洞往往不在你以为需要防守的地方，而在你觉得“这不用管”的角落。

去年有个新闻我印象很深。某地政务系统被入侵，查了半天，发现是外包公司一个程序员在GitHub上传代码时，把数据库密码一起传上去了。那个仓库是公开的，谁都能看。密码两年没改过。你说这算什么高深攻击？就是有人随手翻到了而已。

封堵漏洞这件事，最怕的是“应该没事吧”这种心态。

我认识一个做运维的老哥，他们公司每次上线新功能，他都要做一件事：把旧版本的接口全部关掉。有人嫌麻烦，说留着又不占地方。他说你留着就是给人家留门。新版本修了的问题，旧接口可能还有。攻击者不需要找新漏洞，翻你两年前的版本就够了。

这话我琢磨了很久。漏洞不只是技术层面的东西。小区便利店的漏洞是扫码流程太依赖人工判断，政务系统的漏洞是代码管理没有审查机制，运维的漏洞是“以前能用现在也能用”的惯性思维。每一个漏洞背后，都对应着一个被忽略的环节，一个“差不多就行”的决定。

堵漏洞不是加一堵墙就完事。墙越高，旁边没人看的小门就越致命。

有个做安全的朋友跟我说过一句挺糙的话：你家里装了防盗门，但窗户开着，贼不会去撬门。他说的窗户，就是那些你觉得“反正也没人知道”的地方。默认密码、测试环境、临时权限、废弃接口——这些东西在系统里安安静静躺着，直到有人翻出来。

老周后来怎么解决的？他把扫码枪的声音改了，扫上了会“嘀”一声，没扫上不响。收银员听到没响就会看一眼。就这么简单。漏洞堵上了，不是因为加了多高级的设备，是因为把那个“没人注意”的环节变成了“有人注意”。

很多漏洞的本质就是这样。不是技术不够强，是没人盯着那个地方。你盯住了，它就没了。