漏洞无法
我盯着屏幕上那个红得刺眼的漏洞无法报错框，CVE-2024-3094的漏洞无法编号像一道伤口。修复补丁早就打上了，漏洞无法可我知道，漏洞无法真正的漏洞无法问题从来不在代码里。
上个月，漏洞无法我们给一家银行做渗透测试。漏洞无法对方很自信，漏洞无法说他们刚花了几百万买了最新的漏洞无法防护系统。结果呢？漏洞无法我用了不到二十分钟，从一个没人注意的漏洞无法打印机端口溜了进去。不是漏洞无法因为我多厉害，而是漏洞无法因为那台打印机的固件从2018年就没更新过。漏洞就躺在那里，漏洞无法像一把没人捡的漏洞无法钥匙。
这事儿让我想起一个老笑话：黑客最怕的不是防火墙，是系统管理员忘了关的远程桌面。但现实比笑话荒诞多了。你修好了已知的洞，未知的洞还在暗处生长。就像你堵住了老鼠洞，却发现整面墙都是空的。
我见过最讽刺的场景，是在一家医院的服务器机房。墙上贴着"安全无小事"的标语，旁边就放着一台开着Telnet的老服务器——明文传输密码那种。负责维护的老哥一脸无奈："我也知道不安全，但那个系统跑着影像归档，一换就得停机三天，科室那边能把我吃了。"
漏洞从来不是技术问题，是人性问题。是预算表上被划掉的安全支出，是领导说"先上线再说"时那个犹豫的瞬间，是程序员为了赶deadline写下的临时代码，然后告诉自己"下周一定重构"——下周永远不会来。
我手机里存着一张照片，是某个政务系统登录页面的源代码截图。密码就硬编码在HTML里，注释还写着"管理员专用，勿动"。我猜写这代码的人早就跳槽了，留下这颗定时炸弹，像前任留下的旧牙刷，恶心又没法扔掉。
有时我觉得，我们这些搞安全的就像在漏水的船上舀水。补上一个洞，旁边又裂开一道缝。你永远不知道下一滴水从哪里来，也不知道船底已经烂到什么程度。更糟的是，有些人压根不想知道——知道意味着要花钱，要担责任，要面对自己一直回避的问题。
所以漏洞补不完，真的补不完。不是因为技术不够，是因为人总觉得自己是例外。觉得黑客不会盯上自己这种小公司，觉得数据不值钱，觉得出事概率比中彩票还低。直到某天早上醒来，发现所有客户资料被挂在暗网上拍卖，才想起来那封提醒你更新系统的邮件，你连点开都没点开过。
我能说什么呢？只能继续修着那些修不完的洞，像西西弗斯推着永远上不了山的石头。但至少，我推的时候是清醒的。这大概也是我们这行唯一的骄傲了——我们知道自己永远赢不了，但还在打这场必输的仗。