内容摘要：系统漏洞的危害不包括窃取信息吗？ 2017年5月，WannaCry勒索病毒横扫全球150多个国家，英国国民健康服务体系NHS）的电脑被锁，手术被迫取消，病人病历无法调取。攻击者利用的正是Windows

系统漏洞的系统信息危害不包括窃取信息吗？

2017年5月，WannaCry勒索病毒横扫全球150多个国家，漏洞英国国民健康服务体系（NHS）的包括电脑被锁，手术被迫取消，系统信息病人病历无法调取。漏洞攻击者利用的包括正是Windows系统一个早已被微软发布补丁的漏洞——MS17-010。而国内大量机构没打补丁，系统信息内网机器一夜之间全部中招。漏洞

你看，包括这起事件最直接的系统信息损失是“数据被加密勒索”，但更深层的漏洞危害是——攻击者其实已经通过漏洞进入了系统内部，他们完全有能力在加密之前把敏感信息拖走。包括只是系统信息勒索病毒选择了“锁死数据”这个变现方式而已。所以，漏洞漏洞的包括危害到底包不包括窃取信息？答案当然是包括，而且往往是更隐蔽、更致命的那部分。

我认识一位做安全运维的朋友，他处理过一起企业数据泄露事件。攻击者利用某OA系统的一个文件上传漏洞，绕过了身份验证，直接拿到了服务器权限。但对方没有立刻下载客户资料，而是先植入了一个后门程序，潜伏了三个月。这三个月里，攻击者定期把新增的合同、报价单、员工通讯录悄悄传出去，直到企业发现异常流量时才反应过来。朋友跟我说：“漏洞利用本身不可怕，可怕的是你不知道对方在你家里住了多久，拿走了多少东西。”

很多人有个误区，觉得漏洞危害就是“系统崩溃”或者“被勒索”。但真实世界里，信息窃取才是漏洞被利用的头号动机。2019年Capital One银行的数据泄露，影响了1.06亿信用卡申请用户，原因是一个配置错误的Web应用防火墙（WAF）漏洞，攻击者利用它读取了存储在S3上的敏感数据。没有删库，没有加密，就是安静地复制走了姓名、地址、信用评分。

为什么信息窃取容易被低估？因为它是“无声的”。系统不会蓝屏，业务不会中断，甚至安全日志都可能被攻击者清理干净。等到你发现时，数据可能已经在暗网被转卖了好几轮。相比之下，勒索病毒那种“大张旗鼓”的攻击反而更容易被感知和报道。媒体喜欢写“医院系统瘫痪”这种戏剧性场面，但“某公司300万用户隐私被拖库”这类事件，往往只是发个公告了事。

更麻烦的是，漏洞窃取信息的手段越来越“精细”。比如利用CPU侧信道漏洞（如Meltdown和Spectre），攻击者可以在不接触你文件的情况下，通过内存缓存时序差异读取到内核数据。这种攻击甚至不需要在你机器上安装任何恶意软件，只要诱导你访问一个恶意网页就够了。你什么都没做，密码就可能在后台被一点点拼凑出来。

所以，回到那个问题——系统漏洞的危害不包括窃取信息吗？当然包括。而且我敢说，在绝大多数真实攻击场景中，窃取信息都是攻击者的首选目标。漏洞只是入口，信息才是猎物。别被“勒索”这种表象迷惑了，那些不吭声的黑客，往往才是真正让你血本无归的人。