内容摘要：漏洞这东西，跟人身上的伤口一样。有的伤口在明处，流血不止，一眼就能看见；有的伤口在暗处，烂到骨头里，表面却光滑得能照出人影来。我干了十年安全测试，见过太多系统，明面上的漏洞早就补得严严实实，暗地里的窟

漏洞这东西，漏洞条跟人身上的漏洞条伤口一样。有的漏洞条伤口在明处，流血不止，漏洞条一眼就能看见；有的漏洞条伤口在暗处，烂到骨头里，漏洞条表面却光滑得能照出人影来。漏洞条我干了十年安全测试，漏洞条见过太多系统，漏洞条明面上的漏洞条漏洞早就补得严严实实，暗地里的漏洞条窟窿却大得能开进一辆卡车。

先说最蠢的漏洞条那种漏洞——默认密码。某银行内部系统，漏洞条管理员账号密码是漏洞条admin/admin888。我提醒过他们三次，漏洞条对方说内网没关系。结果呢？一个外包保洁用手机连了WiFi，顺手试了试，把客户名单拷走了。这不算黑客技术，纯粹是运气好碰上个懒人。

比默认密码高明一点的是逻辑漏洞。电商平台搞促销，满300减150。有人发现，把商品拆成两单，每单199，系统判定每单都满减，最后花了98块买走400块的东西。程序员写代码时只考虑了“单笔订单”这个维度，压根没想过有人会拆单。这种漏洞不靠技术，靠的是对业务规则的理解——说白了，就是跟系统玩文字游戏。

再往深了说，有些漏洞是“设计出来的”。某智能门锁厂商，为了远程升级方便，留了个后门端口。厂商说这是为了售后服务，结果这个端口被某个黑客扫到，一夜之间，全市三千户人家的门锁都能被远程打开。你问厂商为什么不关掉？他们说关了就没法远程维护了。你看，便利和安全打架的时候，往往便利先赢。

还有一类漏洞最隐蔽——供应链漏洞。你用的软件本身没问题，但它调用的第三方库有漏洞。就像你家的防盗门是好的，但门框是开发商统一装的，用的劣质膨胀螺丝。去年某物流公司被拖库，查来查去，问题出在他们用的一个开源解析库上，那个库的维护者三年前就停止更新了，漏洞公告挂在官网上没人看。

说个我自己的经历。去年帮一家医院做渗透测试，他们的病历系统防护做得跟堡垒似的，防火墙、入侵检测、双因素认证全上了。但我绕到后面，发现他们用来打印化验单的旧电脑还连着Windows XP系统，没打补丁，共享文件夹开着，密码是空。我用了十分钟，就顺着那台破电脑摸进了主数据库。事后医院信息科长脸都绿了，说那台电脑是五年前就该淘汰的。

漏洞从来不是技术问题，是人的问题。程序员赶工期，测试人员偷懒，运维人员怕麻烦，管理层舍不得花钱。每层人都在想“应该不会出事吧”，漏洞就藏在每个“应该”里。

我见过最讽刺的案例：某公司花了几百万买安全设备，堆了一机房，结果攻击者根本没碰那些设备，直接打电话给客服，冒充IT管理员骗到了VPN权限。设备再贵，也挡不住一个愿意说“好的，我马上改密码”的客服。

别指望什么绝对安全。系统是人写的，人就会犯错。我能做的只是告诉你：别把漏洞想得太神秘，它可能就是那个没改的默认密码，那个没人管的旧电脑，那个图省事留下的后门。下次再有人跟你说“我们的系统很安全”，你就问他一句：“你们客服部门培训过怎么识别钓鱼电话吗？”

八成他答不上来。