凌晨两点，查看漏洞某车企安全响应中心的查看漏洞值班工程师收到一条告警：车载娱乐系统的某个接口在五分钟内被调用了四万次。这不是查看漏洞压力测试，是查看漏洞有人在扫描漏洞。

漏洞从来不会自己喊疼。查看漏洞它安静地躺在代码里，查看漏洞像一个没关严的查看漏洞窗户，直到有人推开它。查看漏洞2017年，查看漏洞WannaCry利用NSA泄露的查看漏洞“永恒之蓝”漏洞横扫全球，英国国家医疗服务体系一夜之间取消近两万场手术。查看漏洞那个漏洞不是查看漏洞什么高深的东西——Windows的SMB协议没校验好输入。微软其实在两个月前就发了补丁，查看漏洞但太多机器没打。查看漏洞

这就是查看漏洞漏洞世界的残酷逻辑：问题被发现的时间，永远早于被修复的时间。攻击者只需要找到一个入口，防守方却要堵住所有缝隙。

我见过一个真实案例。某电商平台的订单查询接口，参数里有个order_id。正常用户传自己的订单号，返回自己的订单。有人把它改成别人的订单号，系统照样返回。这叫水平越权，逻辑漏洞的一种。开发人员觉得“谁会去改这个参数”，但总有人会。后来这个漏洞被提交到漏洞平台，厂商修复只用了两小时——改一行代码，加一个用户身份校验。两小时能解决的问题，之前两年没人发现。

漏洞挖掘这件事，工具帮不上大忙。扫描器能找出已知漏洞的指纹，但逻辑漏洞、业务漏洞，得靠人坐在那里，像拆玩具一样把功能拆开，问自己：如果我不按设计者的意图使用它，会发生什么？

有个安全研究员跟我说过，他找漏洞的方法就是“不听话”。注册时把手机号改成邮箱格式，上传头像时传一个.php文件，支付时把金额改成负数。大多数时候系统会拦住他，但偶尔，只是偶尔，会有一个请求穿过防线，返回一个不该返回的结果。那一刻的兴奋，他说，跟钓鱼时鱼咬钩的感觉一模一样。

厂商对待漏洞的态度也在变。十年前，很多公司收到漏洞报告的第一反应是发律师函。现在，主流厂商都有自己的SRC（安全响应中心），按漏洞等级发奖金。一个高危漏洞能换几万块，比很多人的月薪高。这催生了一个灰色职业：白帽子。他们不卖漏洞给黑产，而是提交给厂商换赏金。有人靠这个年入百万，也有人因为不小心越界，从白帽子变成了“黑帽子”。

法律边界很微妙。《网络安全法》规定，未经授权入侵系统违法。但漏洞挖掘天然需要“未授权访问”——你不试试，怎么知道有没有漏洞？所以白帽子们都小心翼翼：只证明漏洞存在，不下载数据，不破坏系统，提交报告后等厂商确认。一旦越线，赏金就变成手铐。

最让人不安的漏洞，往往出现在最不该出现的地方。心脏起搏器、胰岛素泵、汽车刹车系统。这些设备连上网之后，漏洞的后果从“数据泄露”变成了“人命关天”。2015年，安全研究员Charlie Miller远程黑掉了一辆Jeep Cherokee，在高速上让刹车失灵。克莱斯勒召回140万辆车升级固件。那是第一次，漏洞从数字世界伸出来，掐住了物理世界的喉咙。

查看漏洞，本质上是在查看系统的诚实程度。一个系统越复杂，漏洞越多。一个团队越自信“我们的代码没问题”，越容易出问题。漏洞不会消失，它只会转移——从操作系统转移到浏览器，从浏览器转移到App，从App转移到云端，从云端转移到你手腕上的智能手表。

凌晨四点，那个车企的工程师确认了告警：是虚惊一场，某个测试账号在跑自动化脚本。但他没关掉监控。他知道，真正的攻击不会提前打招呼。漏洞就在那里，等着被看见。

(责任编辑：焦点)