内容摘要：凌晨三点十七分，我的手机屏幕在黑暗中亮起。不是闹钟，是某安全平台的漏洞推送——又一个0day被公开，影响范围标注着“广泛”。我盯着那行字，想起上周刚给服务器打的补丁，突然觉得那层防护薄得像层窗户纸。

凌晨三点十七分，漏洞每天我的漏洞每天手机屏幕在黑暗中亮起。不是漏洞每天闹钟，是漏洞每天某安全平台的漏洞推送——又一个0day被公开，影响范围标注着“广泛”。漏洞每天我盯着那行字，漏洞每天想起上周刚给服务器打的漏洞每天补丁，突然觉得那层防护薄得像层窗户纸。漏洞每天

漏洞这东西，漏洞每天跟白蚁似的漏洞每天。你永远不知道它什么时候把承重墙啃空了，漏洞每天等发现时往往已经晚了。漏洞每天去年某大厂爆出的漏洞每天那个供应链漏洞，源头不过是漏洞每天某个离职员工忘了注销的测试账号。就这么个不起眼的漏洞每天入口，让攻击者顺着代码藤蔓摸到了核心数据库。技术团队连夜封堵时才发现，那个账号在失效前已经被悄悄用了四个月——四个月里，数据像水一样从裂缝里渗出去，没人察觉。

我认识一个白帽子，他管自己叫“夜猫子”。每周固定三个晚上，他会把自己关在房间里，对着几十个开源项目翻代码。他说这活儿跟淘金有点像，大部分时候都是泥沙，但偶尔能摸到一粒金——一个能让整个系统瘫痪的逻辑漏洞。他曾经在一个图片处理库里发现，只要构造特定参数，就能让服务器内存溢出。那个库被几百万人用着，谁也没想到问题会出在看似最安全的地方。“最危险的地方往往最安全”这话反过来说也成立：最常规的代码路径，常常藏着最深的坑。

厂商的反应速度倒是越来越快了。前阵子某系统爆出提权漏洞，官方在36小时内就发了补丁。但补丁本身也可能成为线索——攻击者会盯着补丁日志，逆向分析漏洞细节，然后赶在用户更新前批量扫网。这就像你刚修好门锁，小偷却从你扔掉的旧锁芯上配了新钥匙。安全圈管这叫“补丁时间差”，在这个窗口期里，没打补丁的系统就是裸奔的羔羊。

我自己的服务器也中过招。那是台跑着个人博客的老机器，平时没多少人访问，我就懈怠了。某天登录后台，发现多了一个陌生的管理员账号，创建时间显示是三个月前。翻日志才发现，那段时间我为了调试某个插件，临时开放了文件上传接口，用完忘了关。就这么个疏忽，让爬虫嗅到了机会，挂了个挖矿脚本。CPU占用率飙到90%多，我还以为是天气太热导致散热问题。

处理完那次事故后，我养成了个习惯：每次部署完代码，都会用脚本检查一遍开放的端口和默认账号。但说实话，这只是自我安慰。漏洞就像地心引力，永远存在，只是什么时候被谁踩中罢了。我们能做的，不过是把鞋底加厚一点，把步子迈得稳一点——然后祈祷别踩到那个刚好松动的地砖。

天快亮了，手机又震了一下。这次是某个路由器厂商的固件更新公告，修复了三个远程执行漏洞。我翻了个身，想着今天得把这消息转发给家里用同款路由器的父母。他们大概永远不会懂什么是CVE编号，但至少，能让他们知道：连上网的那个小盒子，其实也藏着需要修补的裂缝。