2017年，漏洞寻找Cloudflare的漏洞寻找工程师在例行排查一个客户报障时，发现了一个奇怪的漏洞寻找现象：某些请求返回的HTML页面里，会混入一小段不属于该网站的漏洞寻找内存数据。按理说，漏洞寻找这些数据应该被隔离在别的漏洞寻找进程里。它不该出现在这里。漏洞寻找这个现象最终被追溯到CPU的漏洞寻找一个底层设计缺陷——后来被命名为“Meltdown”。一个报障工单，漏洞寻找牵出了影响全球几乎所有现代处理器的漏洞寻找安全漏洞。

漏洞从来不会主动敲门。漏洞寻找它藏在代码的漏洞寻找褶皱里，等着某个恰好走到那里的漏洞寻找人踩上去。

我刚开始做安全审计那阵子，漏洞寻找总觉得找漏洞是漏洞寻找件靠天赋的事。后来发现，它更像一种手艺，核心动作只有一个：问“如果……会怎样？” 比如，如果这个输入框收到的不是字符串，而是一个负数呢？如果用户在第37步的时候突然按了返回键呢？如果两个请求恰好同时到达呢？

2014年，OpenSSL的“心脏出血”漏洞就是这么被发现的。攻击者只要发送一段精心构造的请求，就能从服务器内存里读出64KB的数据。这64KB里可能有私钥，可能有用户的密码，也可能什么都没有。但攻击者可以反复读，每次64KB，像用吸管从别人的杯子里喝水。问题出在一个叫 memcpy 的函数上——它本该复制用户提供的数据，却因为缺少边界检查，把相邻内存的内容也一并吐了出来。这段代码存在了两年多，无数人看过，没人注意到。

为什么？因为那段代码“看起来没问题”。它太短了，太普通了，躺在成千上万行代码中间，像一颗和米粒混在一起的沙子。

我个人的经验是，漏洞最常出现在三个地方：边界、假设和信任。边界就是“到这里为止”和“从这里开始”之间的那条线——数组的第0个元素、文件末尾、字符串的结束符。假设是程序员脑子里默认成立的事——“用户不会输入这么长的字符串”“这个函数永远不会被并发调用”。信任则是系统各部分之间的默契——“前端已经校验过了”“这个API只会被内部服务调用”。

每一条假设被打破，就是一个漏洞。

说个具体的。某次我审计一个后台管理系统，登录逻辑看起来无懈可击：密码经过bcrypt哈希，传输走HTTPS，还有登录失败次数限制。但我注意到一个细节——重置密码的接口在验证用户身份时，用的是用户ID而不是会话令牌。也就是说，只要知道某个用户的ID，就能直接调用重置接口，把密码改成任意值。这个接口藏在三层菜单下面，前端根本没有入口。但前端没有入口，不代表接口不存在。

这就是“信任”的问题：开发者信任前端会拦住所有非法请求。可攻击者从来不通过前端。

找漏洞这件事，工具能帮上忙。模糊测试（fuzzing）可以自动生成海量畸形输入，静态分析能扫描出常见的危险函数调用。但工具会漏掉逻辑漏洞——那些代码本身完全合法、只是业务流程可以被绕过的场景。比如一个电商网站，优惠券只能使用一次，代码里也确实在数据库层面做了唯一性约束。但如果你在“使用优惠券”和“提交订单”之间插入一个并发请求呢？两个请求同时读到“未使用”的状态，然后各自标记为“已使用”。优惠券被用了两次。代码没错，流程错了。

这行干久了会养成一种习惯：看到任何系统，第一反应不是“它怎么工作”，而是“它怎么坏掉”。这不是悲观，是职业本能。就像锁匠看门，先看锁芯结构，再看门框缝隙，最后看合页螺丝。漏洞不一定在锁上，可能在门上。

回到Cloudflare那个案例。发现Meltdown之后，整个行业花了几个月打补丁，性能损失最高达到30%。一个逻辑上的疏忽——CPU在推测执行时没有正确检查权限——让全球服务器集体降速。没人能提前预判到这种事。它不在任何人的威胁模型里。

所以漏洞寻找的终点，其实是承认一件事：你永远找不完。你能做的，是在别人找到之前，先找到自己的。