漏洞都有

上周帮朋友看一个后台管理系统，登录框输了个 ' or 漏洞都1=1 --，直接进去了。漏洞都他脸都白了，漏洞都问我是漏洞都不是系统废了。我说别慌，漏洞都这玩意儿十年前的漏洞都老系统，能跑起来已经算奇迹。漏洞都漏洞嘛，漏洞都谁都有。漏洞都

真的漏洞都，别把漏洞当成什么了不得的漏洞都事。我见过太多人一听“漏洞”两个字就紧张，漏洞都好像天要塌。漏洞都其实你手机里每个App、漏洞都银行的后台、甚至你家的智能门锁，拆开看都是一堆补丁摞补丁。区别只在于，有些漏洞被人发现了，有些还没。

前阵子有个做硬件的哥们儿跟我吐槽。他们公司一款智能插座，出厂固件里留了个调试后门，密码是 admin123。这玩意儿在产线上用了三年，没人觉得有问题。直到有个用户闲着没事扫端口，扫出来了。你猜怎么着？整个安全团队连夜加班，发补丁、发公告、写检讨。那哥们儿说，其实那个后门他们早就知道，但“一直没出事，就懒得动”。

你看，漏洞这东西，很多时候不是技术不行，是人的惰性。能跑就别碰——这是多少系统的真实写照。我见过一个跑了八年的老服务，用的还是Python 2.7，依赖库全是2015年的版本。运维说不敢升级，怕升了就跑不起来。结果呢？去年被扫出一个反序列化漏洞，直接被人拿了shell。修的时候发现，其实升级也就花了两个下午。

但话说回来，有些漏洞真不能全怪开发。业务催得紧，三天要上线，你跟我谈安全编码规范？我认识一个创业公司的后端，一个人扛六个项目，每天写到凌晨两点。他跟我说，eval() 用起来是真方便，知道有风险，但“先上线再说”。后来果然被注入了，数据库被删了一半。老板骂他，他直接辞职了。这事怪谁？怪他懒？怪老板急？还是怪这行本来就卷得没边？

“安全是奢侈品，穷公司配不起。”——某个被删库的程序员原话

不过话说回来，漏洞也不全是坏事。我甚至觉得，没有漏洞的系统才是最可怕的。你想想，一个东西完美无缺，要么是它简单到没什么可攻的，要么是藏得太深没人发现。后者更吓人。就像那种特别安静的人，你永远不知道他在想什么。

我自己的博客，前年被扫出个XSS。一个读者私信告诉我，说在我留言板里插了段脚本，能弹窗。我一看，还真是，过滤没写全。赶紧修了，顺便请他喝了杯咖啡。后来他成了我博客的常客，偶尔还帮我看看代码。你看，漏洞有时候反而是个连接点。当然这话不能跟老板说，老板只关心“会不会被黑”。

写代码越久，越觉得漏洞像感冒。你没法保证永远不得，只能增强免疫力。输入验证、参数化查询、最小权限——这些老掉牙的东西，能做到八成，就能挡住九成脚本小子的扫描。剩下的那一成，交给运气和应急响应。别指望银弹，没有银弹。

最后说个真事。我朋友公司请了个安全团队做渗透测试，报告出来列了47个漏洞。老板问：“哪个最严重？”安全团队说：“第48个——你们没有应急响应流程。”老板愣了半天。后来他们建了个群，专门发漏洞预警。虽然群里最常说的话是“这个先记着，下个版本修”。

漏洞都有。区别在于，你是假装看不见，还是看见了赶紧补。补不补得完另说，至少别等被人拖库了才想起来——哦，那个警告我三年前就见过。