内容摘要：凌晨三点，我盯着屏幕上一行十六进制地址发呆。那个藏在某路由器固件里的后门，像一只蜷缩在暗处的虫子，安静地等了三十二年。 漏洞这东西，其实挺像老房子里的白蚁。你不拆开墙板永远不知道它们已经把承重梁啃空了

凌晨三点，漏洞博客我盯着屏幕上一行十六进制地址发呆。漏洞博客那个藏在某路由器固件里的漏洞博客后门，像一只蜷缩在暗处的漏洞博客虫子，安静地等了三十二年。漏洞博客

漏洞这东西，漏洞博客其实挺像老房子里的漏洞博客白蚁。你不拆开墙板永远不知道它们已经把承重梁啃空了多少。漏洞博客我见过一个跑了十年的漏洞博客ERP系统，数据库密码就硬编码在Java代码里，漏洞博客注释还写着"TODO：上线后改成加密存储"。漏洞博客十年了，漏洞博客那个TODO还在，漏洞博客像一句没人兑现的漏洞博客承诺。

去年帮一家小医院做渗透测试，漏洞博客发现他们的输液泵居然能通过蓝牙被远程控制。不是那种高级黑客手法，就是默认PIN码0000。我站在病房走廊里，手里攥着手机，忽然觉得特别荒诞——只要我愿意，可以让任何一台正在输液的设备把药速调到最大。当然我没那么干，但那种权力感让人后背发凉。

写漏洞报告的时候，我习惯用最干巴巴的语言。"该设备使用硬编码凭据，攻击者可通过蓝牙接口未授权访问。"可实际上，这行字背后是一个七十岁老太太可能会因为药物过量送命的可能性。技术文档从不描写恐惧，它只负责记录事实。

有些漏洞是代码写出来的，有些是流程漏出来的。有一次去某银行做等保测评，发现他们的核心交换机密码贴在机柜门上，用A4纸打印的，还过了塑。我问运维小哥为什么这么干，他挠挠头说："上个月半夜出了故障，原来管密码的人出差了，我们三个人猜了俩小时密码没猜对，最后只能物理重启。"从那以后，密码就贴那儿了。你说这是懒惰？不，这是被流程坑过之后的条件反射。

漏洞的寿命往往比想象中长。Log4j那个漏洞，官方都发补丁快两年了，今年年初我还在一家物流公司的系统里扫到过。他们的IT主管一脸无奈："知道要修，但系统是外包的，外包公司说改这个要重新走一遍全流程测试，预算批不下来。"于是那个漏洞就像一颗没拆引信的炸弹，继续躺在生产环境里，每天处理着几万单快递信息。

我越来越觉得，漏洞不只是技术问题，更是人性问题。是人会偷懒，会遗忘，会为了省事走捷径，会在预算面前缩脖子。代码只是把这些特质具象化了。

前几天又看到那个三十二年的路由器漏洞上了新闻，厂商终于发了补丁。评论区有人问："这破设备谁还在用？"底下有人回："我们工厂的控制系统还在用，换一次要停机半个月。"你看，漏洞的终点往往不是技术修复，而是设备退役。

写这篇博客的时候，我笔记本的摄像头贴着一张创可贴。不知道是防谁，可能就是防那个万一。漏洞永远都在，就像墙上的裂缝，你堵上一条，总会有新的从别处冒出来。我们能做的，不过是举着手电筒，一遍一遍地照那些阴暗的角落。