安全漏洞的安全视频

凌晨两点十七分，我盯着屏幕上的漏洞监控回放，后背发凉。安全画面里那个穿灰色连帽衫的漏洞人，用一把普通的安全U盘插进公司前台电脑，三十秒后系统弹窗显示“固件更新成功”。漏洞没有警报，安全没有异常日志，漏洞连杀毒软件都安静得像死了一样。安全这不是漏洞电影桥段，是安全我上个月亲手从安全团队后台调出来的真实录像——那个U盘里装的不是固件，是漏洞勒索软件的变种，它绕过了我们花八十万买的安全下一代防火墙。

视频最瘆人的漏洞地方在于细节。入侵者全程没碰键盘，安全只靠U盘里的autorun脚本触发漏洞，利用的是Windows打印服务里一个存在了十一年的老毛病——CVE-2021-34527，业内叫它PrintNightmare。这漏洞早被微软打了补丁，可公司那台前台电脑因为长期不重启，补丁根本没生效。你看，安全漏洞从来不是技术难题，是管理惰性。技术团队天天追着新威胁跑，结果被一个2010年的旧伤放倒。

我盯着视频里那个U盘插入的瞬间，突然想起去年某家医院遭遇的类似攻击。他们花了几千万做等保，可最后攻破点竟是放射科一台连着PACS系统的老式胶片打印机。那台机器没法装杀毒软件，也没人记得更新驱动，黑客通过它横向移动，把整个影像数据库加密，手术排期全乱了。你看，漏洞总是藏在最不起眼的角落——就像你家里最贵的防盗门，可小偷从没关紧的窗户爬进来。

这段视频我反复看了不下二十遍。每次都有新发现：入侵者戴着手套，刻意避开摄像头正面，但他在插U盘前有个习惯性动作——先用左手摸了一下右耳垂。后来我们查到他是个惯犯，在暗网上卖过十几个企业的数据库。可这些细节当时没人注意，因为监控室的保安正盯着外卖柜那边的画面，怕有人偷奶茶。

安全这事儿，说白了就是跟人性较劲。视频里那个漏洞本身不值钱，值钱的是它暴露出的问题——公司规定U盘必须经过安全检测才能用，可执行层面没人管。技术部的老张告诉我，他早提过要禁用USB口，但销售部说客户资料要拷来拷去，嫌麻烦。现在好了，麻烦主动找上门了。

我把这段视频发给几个做安全的朋友看，有人评论说这像“用钥匙捅开了没上锁的保险柜”。我觉得更准确的说法是——我们造了一辆防弹车，却把车窗摇下来透气。漏洞永远在，但真正致命的，是我们对“已修复”三个字的盲目信任。视频最后三秒，入侵者拔出U盘，顺手用桌上的消毒湿巾擦了擦插口。这动作让我脊背发凉——他比我们更懂怎么保护现场。

现在这段视频被我加密存在私有服务器上，每次新员工入职培训我都放一遍。不是为了吓唬人，是想让他们记住那个凌晨两点十七分的画面——安全从来不是一劳永逸的开关，而是无数个“觉得没事”的瞬间里，你选择多看一眼屏幕，多问一句为什么。