内容摘要：老周蹲在机房里，额头的汗珠滴在键盘上，啪嗒一声。他面前的服务器日志密密麻麻，全是凌晨三点十七分的访问记录——有人利用一个SQL注入漏洞，把他维护的电商平台用户数据库翻了个底朝天。两万条个人信息，包括手

老周蹲在机房里，填补漏洞额头的填补漏洞汗珠滴在键盘上，啪嗒一声。填补漏洞他面前的填补漏洞服务器日志密密麻麻，全是填补漏洞凌晨三点十七分的访问记录——有人利用一个SQL注入漏洞，把他维护的填补漏洞电商平台用户数据库翻了个底朝天。两万条个人信息，填补漏洞包括手机号和收货地址，填补漏洞全被拖走了。填补漏洞

这不是填补漏洞第一次了。上个月安全巡检时，填补漏洞老周就发现那个搜索框的填补漏洞参数过滤不够严格，提了工单，填补漏洞但排期排到了下个季度。填补漏洞他当时想着，填补漏洞反正有防火墙挡着，应该没人那么无聊专门来打这个点吧。结果，还真有人无聊。

补漏洞这事儿，像极了修老房子。你以为漏雨的地方在屋顶，其实水是从墙角渗进来的。老周后来跟我说，那晚他盯着日志看了四个小时，越看越觉得讽刺——攻击者用的手法，跟三年前某安全论坛上公开的教程一模一样，连工具版本都没换。技术圈子里管这种叫“捡漏”，专挑那些知道有洞但懒得补的网站下手。

他把漏洞补上的过程倒不复杂。加了几行参数校验代码，重新部署了一下，前后不到二十分钟。真正麻烦的是后续。要通知那两万个用户，要配合警方调取服务器记录，要写事故报告给公司高层。老周说，他宁可再通宵写十次代码，也不想再打一次那种解释电话——电话那头的主管问：“这么明显的漏洞，你怎么早没发现？”

他发现过，只是没人当真。

其实很多漏洞都不是技术问题，是人的问题。我认识一个做渗透测试的朋友，他说自己最喜欢接金融公司的单子，因为那些系统表面固若金汤，实际上内部员工经常把密码贴在显示器边框上。他有一次假装维修工混进办公区，在茶水间坐了一下午，光靠看别人输入密码就记下了六个账号。这事儿听起来像段子，但真实得让人后背发凉。

技术上的洞，补起来都容易。难的是那些看不见的洞——流程上的，意识上的，还有决策层觉得“安全投入不产生收益”的那种傲慢。老周后来把那个搜索框的代码打印出来贴在工位上，旁边用红笔写了一行字：“这里曾经丢过两万条数据。”他说不是为了纪念，是为了提醒自己，有些洞看起来小，漏起来要命。

前几天他又给我打电话，说公司终于批了预算，要做一次全系统渗透测试。电话那头他笑了一声：“你说怪不怪，丢一次数据比什么安全培训都管用。”我听着也笑了。人就是这样，非得被咬一口，才想起来打疫苗。

补完的漏洞会留下补丁的痕迹，像是墙上刷了一块颜色略深的新漆。老周说他不打算把那块痕迹遮掉，就让它留在那儿。每次有人路过问起，他就能讲一遍那个凌晨三点十七分的故事。故事讲多了，也许能提醒更多人——漏洞永远会存在，但别让它待太久。