内容摘要：2023年11月，某省级政务平台的后台日志里出现了一条不起眼的记录：凌晨2点17分，一个管理员账号在5分钟内连续登录了47次。运维人员当时没在意——可能是网络抖动，也可能是某个同事在加班。三天后，该平

2023年11月，系统某省级政务平台的漏洞后台日志里出现了一条不起眼的记录：凌晨2点17分，一个管理员账号在5分钟内连续登录了47次。致使运维人员当时没在意——可能是黑客网络抖动，也可能是入侵某个同事在加班。三天后，系统该平台超过200万条公民信息被打包挂在境外论坛上出售。漏洞事后溯源发现，致使入侵者利用的黑客不过是一个三年前就公开过的文件上传漏洞，而系统管理员从未打过补丁。入侵

这种事听起来像老生常谈，系统但每次发生都让人脊背发凉。漏洞漏洞本身不新鲜，致使新鲜的黑客是它总能在同一个地方反复得手。我翻过不少入侵事件的入侵复盘报告，发现一个共性：黑客真正撬开的往往不是代码层面的缺陷，而是人的侥幸心理。某电商平台曾有个测试接口忘记下线，返回包里直接带着数据库的账号密码。安全团队在季度扫描时标记为“低危”，理由是“外网访问不了”。结果呢？攻击者通过一个SSRF漏洞把它变成了内网跳板。低危变高危，中间只隔了一个“没想到”。

系统漏洞的可怕之处不在于技术多复杂。很多被利用的漏洞，修补方案可能就是一小时的工作量。2021年某银行APP的短信验证码接口没有做频率限制，攻击者用自动化脚本遍历手机号，撞库盗刷了上百万元。修复方式简单到可笑——加个计数器，每分钟最多发5条。但就是这么一行代码，拖了八个月没上。为什么？因为业务部门觉得“限制频率会影响用户体验”，安全部门觉得“这不是核心系统”，两边踢皮球，直到出了事才连夜加班。

我观察到一个现象：企业买防火墙、上WAF、搞零信任架构，钱花得不少，但最基础的资产盘点都做不干净。某次攻防演练中，红队只用了两小时就拿到域控权限，入口是一台2016年就停止维护的OA服务器。它不在任何资产清单里，IT部门以为早就下架了，实际上还在跑着旧版Struts2。这种“影子资产”遍地都是。黑客不需要什么0day，他们只要比你更了解你自己的网络。

再说个更离谱的。某医院的核心数据库密码是“admin123”，内网所有终端都能直连。问就是“历史遗留问题”，改密码要协调六个科室，谁都不想牵头。后来勒索病毒进来，加密了全部病历，医院停诊三天。院长在发布会上说“遭遇了高级持续性威胁”，其实攻击者就是个用现成工具包的初中生。把简单问题包装成高级威胁，是行业里最常见的甩锅话术。

漏洞管理本质上是个脏活累活。它不像开发新功能那样有成就感，也不像买设备那样能写进预算报告。它要求你持续地、枯燥地、不厌其烦地去核对每一个端口、每一条规则、每一个默认口令。但攻击者恰恰最喜欢这种枯燥——他们可以失败一万次，你只要漏掉一次。

写这些不是要贩卖焦虑。我想说的是，安全事件里“技术”的成分远比大众想象的低。一个及时打补丁的运维，比十台顶级防火墙都管用。可惜现实是，补丁永远排在需求列表的最后一位。直到黑客帮你把它排到第一位。