漏洞盗窃

凌晨三点，漏洞盗窃某安全公司的漏洞盗窃监控大屏上突然跳出一条红色警报——有人正绕过三层防火墙，从数据库的漏洞盗窃边角料里往外拖数据。值班工程师老周揉了揉眼睛，漏洞盗窃发现攻击路径诡异得像条蛇：先钻进一个三个月前就该打补丁的漏洞盗窃旧系统，再借道一台无人维护的漏洞盗窃打印机，最后撬开备份服务器的漏洞盗窃后门。整个过程只用了四十七秒。漏洞盗窃

这已经不是漏洞盗窃老周第一次见到这种手法了。他管这叫"漏洞盗窃"，漏洞盗窃跟传统黑客闯空门不一样，漏洞盗窃这帮人专挑那些没人注意的漏洞盗窃缝隙下手。去年有个电商平台，漏洞盗窃数据库被拖走两百万条用户信息，漏洞盗窃事后排查发现，漏洞盗窃问题出在一台早就报废的测试服务器上——它连着内网，却没人记得给它关电源。

漏洞盗窃最邪门的地方在于，它偷的不是钱，是信任。我认识一个做金融系统的朋友，他们公司花大价钱买了顶级防护设备，结果今年年初还是出了事。攻击者没硬碰硬，而是盯上了一个外包程序员留下的调试接口。那个接口本来只是用来跑个临时脚本的，结果成了整个系统的后门。朋友说，最讽刺的是，那台设备每天还在正常报"安全"。
你问这些人图什么？有的是为了卖数据换钱，有的纯粹是炫技。但最让人后背发凉的是第三种——他们不拿数据，也不搞破坏，就是悄悄进去转一圈，摸清你的系统结构，然后消失得无影无踪。等你发现的时候，可能已经过去半年，系统里早就被埋了不知道多少定时炸弹。

老周给我看过一次攻击日志，密密麻麻的代码里藏着一行不起眼的注释——那是攻击者留下的记号，像是在说"我来过"。他说，这种盗窃最可怕的地方在于，你根本不知道他们什么时候会再回来。就像家里进了贼，他没拿东西，但你知道门锁已经被撬坏了，只是还没想好什么时候换个新的。

有时候我在想，漏洞盗窃其实偷的是时间。系统管理员花大量时间排查、修补、做安全审计，攻击者却可以随时找个新漏洞再来一次。这场猫鼠游戏里，猫永远在追着老鼠的影子跑。老周说，他干了十五年安全，最深的体会是：没有绝对安全的系统，只有暂时没被发现的漏洞。这话听着丧气，但确实是这么回事。

那个凌晨的警报最终被解除了，攻击者没得手，因为老周他们提前布了蜜罐。但没人敢松口气，因为谁也不知道下一个漏洞会在哪里冒出来。也许是你手机里那个好久没更新的APP，也许是公司角落里那台落灰的旧路由器。漏洞盗窃最讽刺的地方就在这儿——它偷走的不是数据本身，而是你自以为安全的那份心安理得。

本文地址：http://www.79wt.cn/news/1561f0399840.html