周二凌晨两点十七分，网络我的漏洞手机震了七次。不是评估闹钟，是报告监控系统推送的告警——某台面向公众的ERP服务器，SSH端口被暴力尝试了四千多次。网络这种事不新鲜，漏洞但这次对方绕过了fail2ban，评估用了一组从未见过的报告IP段。

我爬起来，网络冲了杯浓缩咖啡，漏洞开始翻日志。评估攻击者在凌晨一点五十八分撕开了一个口子，报告用的网络不是零日漏洞，而是漏洞CVE-2021-44228——Log4j2那个老熟人。补丁打了，评估但只打了应用层。底层依赖的Apache Solr组件，还裸奔着旧版本。你看，漏洞从来不是技术问题，是管理问题。

这份报告不讲理论，讲我上季度实际测过的三十七个系统。先说结论：百分之八十九的网络漏洞，源于配置错误而非代码缺陷。最典型的一例——某财务系统开放了Redis未授权访问，攻击者用一条SET命令就能覆写cron任务。修复方案？加一行requirepass，耗时三十秒。但没人做，因为开发说“内网没事”，运维说“不知道开了外网映射”。

另一个高频漏洞是API接口的越权。我拿Burp Suite改了改请求包里的user_id参数，直接拿到了另一个客户的发票数据。不是技术多高深，是开发默认“前端隐藏了按钮就等于后端校验了权限”。这种思维惯性比任何漏洞都危险。

有个细节值得提。某次渗透测试，我用了Shodan扫描公司公网IP段，发现一台测试环境的Jenkins，未设密码，控制台直接可执行脚本。进去一看，连接着生产数据库的只读账号。虽然只读，但攻击者可以反复查询，拖走全量用户手机号。测试环境不隔离，等于把后门钥匙挂在门口。

再说说人的因素。我统计过，百分之六十七的钓鱼邮件模拟测试中，至少有三人点击了带宏的Excel附件。最讽刺的是，其中一人是安全培训负责人。他后来解释：“那天赶着交周报，没细看发件人域名。”域名是security-update@go0gle.com，多了个零。

修复优先级怎么排？别按CVSS分数，按业务影响。我见过一个CVSS 9.8的漏洞，但系统只在内网被两台老旧打印机访问，风险其实可控。反倒是某个CVSS 6.5的存储型XSS，挂在官网客服系统上，能被搜索引擎收录，任何访客都可能触发会话劫持。分数低，不代表危害小。

报告最后我想说，漏洞扫描器只是照妖镜，照出的是流程的裂缝。你花钱买最贵的WAF，不如花半天梳理一遍公网资产清单——很多人连自己有多少台服务器暴露在公网都不清楚。上季度我让客户提供资产表，他们给了份Excel，里面有个2018年就退役的云主机，还在跑着旧版WordPress，后门已经被植入两年。

清理它花了四分钟。找到它，花了三周。