凌晨两点十七分，漏洞我盯着屏幕上的扫描那份漏洞扫描报告，第38页有一行红色小字——CVE-2024-3094，结果严重等级9.8。漏洞这不是扫描什么新鲜事，上个月刚爆出来的结果时候，整个安全圈都炸了锅，漏洞连我那从不看安全新闻的扫描房东都跑来问我，说他家路由器会不会被黑。结果 报告总共列了47个漏洞，漏洞其中高危的扫描就有12个。可真正让我后背发凉的结果，不是漏洞那些带CVE编号的知名漏洞，而是扫描第23页那条不起眼的记录——某个内部管理系统的登录接口，居然还在用明文传输密码。结果这系统是五年前外包做的，当时验收的时候大家都赶着上线，没人细看。现在想想，那会儿赶工期留下的坑，现在得拿加班来填。 我把报告往下翻，越看越觉得不对劲。有些漏洞明明三个月前就报过了，修复状态还是“待处理”。问运维老张，他挠挠头说：“排期排到下个月了，这边还有两个业务系统要升级，实在腾不出手。”这话我信，因为上周他确实连续加了四天班，凌晨两点还在机房调配置。可问题是，漏洞不等人——黑客可不会管你是不是人手不够。 最讽刺的是第41页，有个漏洞标注的是“已修复”，但修复方式是直接把那个功能模块给下线了。业务方第二天就炸了，说这个功能是客户天天要用的。安全部门的KPI是达标了，可业务部门的投诉电话也被打爆了。这种掩耳盗铃式的修复，说白了就是拿胶带糊墙，雨一大照样漏。 其实漏洞扫描这事儿，最难的从来不是发现漏洞，而是决定修什么、什么时候修。我见过一个电商平台，把扫描结果按风险值排了个序，优先修了那个能直接拖库的SQL注入，结果第二天就被打了个措手不及——攻击者绕过了那个高危点，从另一个被评为“中危”的文件上传漏洞进来了。后来复盘才发现，那个上传漏洞虽然单看风险不高，但它跟另一个逻辑漏洞一组合，就成了致命组合拳。 所以你看，光靠扫描报告里那个风险等级排序去做决策，不靠谱。你得知道自己的业务长什么样，数据流往哪儿走，哪些资产真正值钱。有次我跟一个银行的安全负责人聊，他说他们内部压根不看扫描报告的总数，只看“核心交易链路”上有没有漏洞。其他系统的，慢慢排队。这话听着偏激，但仔细想想，确实比我们这种眉毛胡子一把抓的强。 说到这儿，我瞄了一眼报告末尾的建议部分——标准的模板话术，什么“建议加强安全培训”“建议完善安全制度”，全是正确的废话。真正有用的建议应该是：“把那个明文传输的接口改成HTTPS，估计一天能搞定，要不要我帮你联系下外包？”或者“这个漏洞的POC已经公开了，建议今天之内先加个WAF规则顶着。”可惜写报告的人不在一线，不知道这些。 天快亮了，我把报告关了，给老张发了条消息：“那个明文接口的事，我下午帮你一起改吧，别等排期了。”他回了个“行”，又补了句：“记得带杯咖啡。”我笑了笑，这大概就是安全工作的常态——没有一劳永逸的完美方案，只有不断补漏的日常。扫描结果永远在那儿，你要做的不是消灭所有漏洞，而是搞清楚，哪些坑今天必须填，哪些可以暂时拿块板子挡着，等明天再说。

(责任编辑：百科)