内容摘要：2003年，一个叫Blaster的蠕虫病毒横扫全球，18分钟内感染了超过十万台Windows电脑。中毒的机器弹出一个倒计时窗口，提示系统将在60秒后重启。很多办公室里的电脑像多米诺骨牌一样挨个黑屏，人

2003年，安全一个叫Blaster的漏洞蠕虫病毒横扫全球，18分钟内感染了超过十万台Windows电脑。故事中毒的安全机器弹出一个倒计时窗口，提示系统将在60秒后重启。漏洞很多办公室里的故事电脑像多米诺骨牌一样挨个黑屏，人们面面相觑，安全不知道发生了什么。漏洞这个病毒本身没什么破坏力，故事就是安全让你重启，但它利用的漏洞漏洞——微软的DCOM RPC接口缓冲区溢出——其实在26天前就已经有补丁发布了。只要用户更新了系统，故事就什么事都没有。安全

但没人更新。漏洞那时候的故事普通用户，连“补丁”是什么都不知道。这件事让我第一次意识到，安全漏洞讲的从来不是黑客有多高明，而是人有多懒、多忙、多不在意。漏洞本身只是一行代码里的错误，它躺在那里，像一把没上锁的自行车。真正让它变成灾难的，是所有人都觉得“锁不锁无所谓”。

后来我做过几年安全测试，见过更荒诞的事。有家银行的内部系统，密码是admin/admin，理由是“方便运维人员记忆”。还有一次，客户让我们测试一个医疗设备，我随手试了试默认口令，直接进了后台，能看到所有病人的心率数据。对方工程师摊手说：“这设备出厂三年了，从来没人改过密码。”你说这是技术问题吗？不是。这是人性问题——人们总觉得自己不会是那个倒霉蛋。

漏洞还有一个特性，就是它特别喜欢藏在最不起眼的地方。2017年的Equifax数据泄露，1.43亿美国人的社保号、驾照信息被拖走，起因是Apache Struts框架的一个已知漏洞。这个漏洞在3月份就公布了，Equifax的运维团队也收到了告警，但负责的人把邮件搁在一边，想着“下周再处理”。结果7月份被黑客利用，一锅端。那封邮件至今还在某个人的收件箱里，标题大概写着“紧急：请立即升级”。

安全圈有句话叫“漏洞不可怕，可怕的是你不当回事”。我越来越觉得，漏洞其实在讲一个关于时间的故事——发现漏洞的人和修补漏洞的人，永远在赛跑。黑客那边是自动化扫描工具，24小时不停歇地嗅探；企业这边是运维人员手动打补丁，还得挑业务低峰期，怕影响线上服务。这场赛跑里，防守方经常是慢半拍的。不是技术不行，是流程太慢，决策链条太长。

最讽刺的是，有些漏洞被公开后，反而成了黑客的“狩猎指南”。研究者发论文、写博客，本意是提醒厂商修复，结果黑客拿去直接当武器库。我记得有个漏洞，从公开到被利用只隔了48小时。而厂商那边，开发团队还在评估“影响范围”，测试团队还在排期。时间差就这么被拉出来了，像一扇没关严实的窗户，风一吹就开了。

说到底，安全漏洞讲的故事很简单：人类造了复杂系统，却用简单思维去维护它。我们发明了防火墙、加密算法、入侵检测，但最后败给的是“忘了更新”“密码太弱”“流程太慢”这些老掉牙的事。技术越来越强，人性一直没变。每次看到新的漏洞报告，我总想起那台倒计时重启的电脑——它不是在提醒你“系统错误”，而是在提醒你：你该关心一下自己手边那些没做完的小事了。