2010年，Stuxnet蠕虫撕开了一个口子。它利用Windows打印后台程序的漏洞，把伊朗纳坦兹核设施的离心机转成了废铁。那次攻击不是靠什么零日漏洞，而是靠一个已经被修补过的旧漏洞——目标机器没打补丁。这个细节比漏洞本身更值得琢磨。

漏洞这东西，本质上是代码里没预料到的路径。写代码的人脑子里有一条正常流程，用户输入A，系统执行B，返回C。但攻击者不按这个流程走。他们输入一个超长字符串，或者构造一个畸形数据包，让程序走到一条没人走过的岔路上。这条岔路上可能就藏着一个内存溢出，或者一个权限提升的机会。

我见过一个真实的exp，针对某款国产OA系统的文件上传功能。正常逻辑是用户上传头像，系统检查后缀名是不是jpg或png。但那个检查只看了文件名最后一个点后面的部分。攻击者上传一个叫“shell.php.jpg”的文件，系统一看后缀是jpg，放行。然后攻击者访问这个文件时，服务器解析的时候又把它当成php执行了。就这么简单。开发人员以为检查了后缀就安全了，但没想过文件名可以有两个点。

写exp的人跟写代码的人思维方式完全不同。写代码的人想的是“这个功能怎么用”，写exp的人想的是“这个功能怎么被滥用”。一个登录框，正常人输入用户名密码，攻击者输入一个单引号，看看数据库报不报错。报错就说明有SQL注入，不报错就换一个payload再试。这个过程没什么高深的，就是耐心加一点想象力。

Metasploit框架把这些东西标准化了。你选一个模块，设置目标IP和端口，敲一个exploit命令，shell就弹回来了。方便是方便，但也让人变懒了。很多人只会用现成的模块，不知道背后的原理。真遇到一个没现成exp的场景，就傻眼了。我认识一个做渗透测试的，有次碰到一个自定义协议的工控设备，网上找不到任何exp。他花了三天时间，用Wireshark抓包，手动构造数据包，最后找到了一个缓冲区溢出点。那种成就感，用Metasploit是体会不到的。

漏洞的价值不在于漏洞本身，而在于它能不能被利用。一个远程代码执行漏洞，如果目标系统在内网深处，中间隔着三层防火墙，那它的实际价值就大打折扣。反过来，一个本地提权漏洞，如果配合一个钓鱼邮件，就能从普通用户直接拿到域控权限。所以看一个exp，不能只看它的CVSS评分，得看它在真实环境里能不能跑通。

补丁管理是个老生常谈的问题，但也是最有效的防御手段。很多被攻破的系统，不是因为没有防火墙，而是因为没打一个三年前的补丁。攻击者最喜欢的就是这种低垂的果实。你花几十万买了下一代防火墙，结果服务器上跑着一个Windows Server 2008，连MS17-010都没打，那防火墙就是个摆设。

写exp和防exp是同一枚硬币的两面。你越了解攻击者怎么想，就越知道该怎么防。反过来也一样。我见过一个安全开发，他每次写完一个功能，都会自己试着攻击一下。输入一些奇怪的东西，看看会不会崩。这种习惯比任何安全培训都管用。

漏洞不会消失。只要有人写代码，就会有bug。区别在于，有些bug只是让程序崩溃，有些bug能让攻击者拿走你的数据。作为技术人，能做的是尽量让后一种少一点。