内容摘要：凌晨两点，我盯着屏幕上的那行日志，后背发凉。某知名路由器厂商的固件里，一个隐藏了四年的后门账号，密码是硬编码的“root:password”。这行代码就躺在官方发布的二进制文件里，任何能嗅探到WAN口

凌晨两点，曝光漏洞我盯着屏幕上的曝光漏洞那行日志，后背发凉。曝光漏洞某知名路由器厂商的曝光漏洞固件里，一个隐藏了四年的曝光漏洞后门账号，密码是曝光漏洞硬编码的“root:password”。这行代码就躺在官方发布的曝光漏洞二进制文件里，任何能嗅探到WAN口流量的曝光漏洞人，都能直接以最高权限接管设备。曝光漏洞没人发现，曝光漏洞或者说，曝光漏洞没人公开过。曝光漏洞

这不是曝光漏洞孤例。上个月，曝光漏洞我帮朋友排查他家的曝光漏洞智能门锁，发现厂商的云平台API接口居然不校验设备身份。只要知道锁的MAC地址——这玩意儿在局域网里裸奔，用Wireshark抓包就能看到——任何人都能远程发送开锁指令。厂商客服的回应更绝：“我们设计时默认用户都在可信网络环境。”可这锁连的是Wi-Fi，隔壁老王蹭个网就能解锁你家大门。

漏洞曝光这件事，最讽刺的地方在于：披露本身往往比漏洞更危险。去年有个安全研究员发现某国产监控摄像头存在命令注入漏洞，他按行业惯例先通知厂商，给了90天修复期。结果厂商第89天发了个声明，说“经排查不存在该风险”，转头就起诉研究员“散布虚假信息”。等研究员把完整PoC公开后，网上立刻出现了利用脚本，大量摄像头被僵尸网络控制。厂商这才慌了，紧急推送补丁——但此时全球已有超过十万台设备沦陷。

我见过太多这样的案例了。厂商的第一反应永远是捂盖子，公关部门比研发部门先介入。他们怕曝光影响股价，怕用户恐慌，怕监管问责。可他们偏偏不怕漏洞本身带来的真实危害。有个做物联网安全的哥们跟我说过一句糙理不糙的话：“厂商把漏洞当面子，黑客把漏洞当金子，用户把漏洞当空气。”这话难听，但真实。

更让人无语的是，有些漏洞压根不是技术难题，纯粹是懒。比如某主流路由器品牌，web管理界面居然支持直接通过URL参数修改管理员密码，而且不校验旧密码。这种低级错误放在十年前都算丢人，可它就这么堂而皇之地上线了。我猜测，开发时为了调试方便留了后门，上线时忘了删——这种“忘了”在代码里太常见了，常见到让人麻木。

曝光漏洞到底有没有用？我的回答是：有用，但远远不够。每次曝光都能逼着厂商补一个洞，可他们补完这个，下个版本又引入新的。就像打地鼠。真正的解法是什么？我觉得是监管层面的强制要求——比如规定物联网设备必须通过安全认证才能上市，漏洞披露必须有法定时限。可这条路还长得很，毕竟连最基本的“默认密码必须修改”都没写入强制标准。

写这篇文章的时候，我顺手查了下那款路由器的最新固件，后门倒是堵上了，但隔壁论坛又有人爆出新的命令注入点。你看，漏洞这东西，跟韭菜似的，割了一茬又长一茬。我们能做的，就是保持警惕，别太信厂商的“安全承诺”——毕竟，他们连自己的代码都信不过，凭什么让你信？