内容摘要：2017年5月12日，WannaCry勒索病毒横扫全球。英国国家医疗服务体系瘫痪，手术取消，救护车改道。西班牙电信、联邦快递、雷诺工厂，二十万台机器同时弹出红色窗口，要求支付比特币。事后复盘，漏洞来自

2017年5月12日，无漏洞WannaCry勒索病毒横扫全球。无漏洞英国国家医疗服务体系瘫痪，无漏洞手术取消，无漏洞救护车改道。无漏洞西班牙电信、无漏洞联邦快递、无漏洞雷诺工厂，无漏洞二十万台机器同时弹出红色窗口，无漏洞要求支付比特币。无漏洞事后复盘，无漏洞漏洞来自美国国家安全局泄露的无漏洞“永恒之蓝”工具，利用的无漏洞是Windows SMB协议的一个缺陷。微软其实在两个月前就发了补丁。无漏洞没打的无漏洞人，全中。

这件事说明一个残酷的事实：漏洞本身不可怕，可怕的是知道漏洞却不动。安全圈有句话——“补丁管理是世界上最无聊也最有效的事”。无聊到没人愿意做，有效到能挡住九成以上的攻击。

我认识一个做渗透测试的朋友，老周。他接活的方式很特别：不先扫端口，不先跑漏洞库，而是直接问客户IT部门三个问题。第一个，你们的资产清单多久更新一次？第二个，上次打补丁是什么时候？第三个，谁负责这件事？他说，这三个问题答不上来的，后面不用测了，肯定一塌糊涂。事实也证明如此。他干这行十二年，真正靠“高级漏洞”拿下的目标不到百分之五。剩下的，全是弱口令、未修复的已知漏洞、配置错误。这些东西不需要天才，只需要有人认真干活。

但“认真干活”四个字，在现实里比想象中难。

大公司有流程，有审批，有变更窗口。一个补丁从测试到上线，走完流程可能三周。三周里，攻击者早就写好利用工具了。小公司更直接——没人。运维兼着网管，网管兼着修打印机。你让他半夜起来打补丁？他先把你打了。所以很多系统就那么裸着跑，跑一天算一天。不出事，是运气。出事，是必然。

更麻烦的是人的心态。安全这东西，没出事的时候是成本，出了事才是刚需。老板算账很简单：买设备要钱，招人要钱，打补丁要停机。停机就是损失。你跟他讲风险，他跟你讲业务。你跟他讲案例，他跟你讲“我们小公司没人盯”。等到真被勒索了，数据库被加密了，客户数据挂在暗网上卖了，他才想起来问一句“当时为什么没人提醒我”。提醒了。只是他没听。

还有一种漏洞，藏在代码里，但根子在流程上。比如某电商平台，登录接口没做频率限制。攻击者写个脚本，每秒试一百个密码，三天跑完一亿条常用密码库。这不是什么高深技术，纯粹是开发图省事，测试没覆盖，上线没人审。后来这个漏洞被一个大学生发现了，提交到漏洞平台，拿了五百块奖金。平台方修了一行代码，加了验证码。完事。但那一亿条密码里，有多少用户在其他网站也用同样的密码？没人统计。也没法统计。

所以“无漏洞”这三个字，我从来不信。任何系统都有漏洞，区别只在于有没有人知道，有没有人利用，以及你愿不愿意承认。真正安全的系统不是没有漏洞，是漏洞被发现的成本远高于攻击收益，是即使被发现也能快速响应、快速修复。这靠的不是某个神奇的产品，是一套持续运转的机制——资产清楚、补丁及时、权限最小、日志有人看、出事有人管。

老周去年转行了，去了一家做智能家居的公司当安全负责人。我问他为什么。他说，做乙方太累，天天帮人擦屁股，擦完人家还不领情。现在在甲方，至少能决定什么时候打补丁。我问他，你们系统无漏洞吗？他笑了一声，说，我们系统漏洞多得很，但至少我知道它们在哪儿，也在盯着。怕的不是有漏洞，是不知道有漏洞。

这话我记到现在。