内容摘要：2021年冬天，Log4j爆出那个核弹级漏洞时，我正蹲在客户机房做等保整改。手机震了十几下，安全圈的朋友几乎同时甩来同一个链接——CVE-2021-44228，评分10.0。我盯着屏幕愣了几秒，然后转

2021年冬天，漏洞Log4j爆出那个核弹级漏洞时，漏洞我正蹲在客户机房做等保整改。漏洞手机震了十几下，漏洞安全圈的漏洞朋友几乎同时甩来同一个链接——CVE-2021-44228，评分10.0。漏洞我盯着屏幕愣了几秒，漏洞然后转头问运维老张：“咱们那个日志平台，漏洞用的漏洞哪个版本？”老张脸色变了。整个机房安静得能听见服务器风扇的漏洞嗡鸣。那天晚上我们没回家，漏洞泡面盒子堆了一桌，漏洞凌晨四点才把最后一个节点打完补丁。漏洞事后复盘，漏洞老张说了句大实话：“这玩意儿就像家里水管爆了，漏洞你才知道墙里埋的管子有多老。”

漏洞这东西，从来不跟你讲道理。它不挑你系统多新、架构多漂亮、团队多能打。一个字符串拼接没过滤，一个反序列化没校验，一个依赖包三年没升级，都可能成为别人进你内网的钥匙。我见过一家创业公司，前端做得跟艺术品似的，结果后台一个eval()直接把数据库权限送了出去。攻击者没用什么高深手法，就是构造了个畸形请求。安全圈有句话：你不知道的漏洞，别人正在用；你知道的漏洞，别人已经用完了。

很多人把漏洞理解成“bug”，这不太准确。bug是功能没跑通，漏洞是功能跑通了，但跑偏了。比如一个上传接口，正常传图片没问题，传个.php文件上去，服务器也照单全收，还给你返回了访问路径。这不是bug，这是设计时压根没想过“如果对方不按套路出牌会怎样”。攻防的本质就是：你按说明书用，我偏不。你假设输入是善意的，我偏塞恶意载荷。你信任前端校验，我直接改包。漏洞就藏在这些“信任”的缝隙里。

补丁管理是另一个让人头疼的事。理论上，厂商发了补丁，你打上，漏洞就关了。现实呢？我见过跑了八年的Windows Server 2003，还在生产环境扛着核心业务。问就是“业务不能停”“升级会崩”“没人敢动”。安全部门发了十几次通告，运维部门回回说“排期”。直到某天勒索病毒进来，整层楼断网，老板拍桌子问怎么回事。这时候翻出那堆没打的补丁，已经晚了。漏洞不会因为你忙就放过你，它只认版本号。

还有个有意思的现象：很多漏洞的利用代码，比官方补丁来得还快。Log4j那会儿，补丁还没出，PoC已经满天飞了。安全研究员、黑产、脚本小子，全在抢时间。你这边刚评估完影响范围，那边自动化扫描器已经把你资产扫了个遍。这种时候拼的不是谁技术强，是谁响应快、谁资产清、谁决策果断。我认识一个甲方安全负责人，他手机里存着所有核心系统负责人的电话，漏洞一爆，直接打电话叫人起床。他说：“邮件？邮件太慢了。等你写完邮件，数据已经在暗网标价了。”

说回Log4j那个夜晚。打完补丁后，老张泡了壶茶，跟我说了句话我记到现在：“干这行越久，越觉得漏洞不是技术问题，是人的问题。”懒、侥幸、觉得“不会轮到我”、觉得“业务优先安全靠后”——这些才是漏洞真正的温床。代码是人写的，架构是人设计的，补丁是人打的。只要人还在犯错，漏洞吧就永远有生意。

所以每次看到新漏洞披露，我不再像刚入行时那样兴奋地研究利用技巧。更多时候是叹口气，打开资产清单，开始打电话。因为我知道，又有人要熬夜了。