凌晨两点，漏洞我盯着屏幕上的测试红点。那是公司个漏洞，藏在一家银行APP的漏洞转账接口里——只要把金额参数改成负数，系统就会往你账户里打钱。测试这活儿干了八年，公司我早就过了兴奋的漏洞年纪。但每次看到这种低级错误，测试还是公司忍不住骂一句：这帮开发到底有没有做过安全培训？

我的公司叫“漏洞测试公司”，名字直白得不像话。漏洞说白了，测试就是公司雇我们这群人，专门去攻击客户的漏洞系统。合法的测试攻击。拿着授权书，公司用各种下三滥的手段——钓鱼邮件、暴力破解、SQL注入——把他们的防线撕开，然后写份报告，告诉他们：看，你们这儿漏了，那儿也漏了。客户付钱买这份报告，往往是因为刚被黑过一次，或者被监管部门点名了。

上个月接了个单子，客户是家做智能门锁的厂商。他们的产品卖了几十万台，全是联网的。我拿到样品，拆开外壳，发现主板上有个调试接口，没做任何防护。接上电脑，三分钟就拿到了root权限。这意味着什么？我能远程打开任何一把他们卖出去的锁。不是猜密码，是直接控制。我打电话给他们的技术总监，对方沉默了很久，然后问了一句：“能先别公开吗？我们下个月要融资。”

这行干久了，你会对“安全”这个词产生扭曲的理解。所谓安全，不是不存在漏洞，而是漏洞还没被人发现。或者更准确地说，是被发现的人还没恶意利用。我见过太多公司，平时舍不得花钱做测试，等出事了才想起找我们。有个做医疗设备的客户，被勒索病毒搞瘫痪了整条生产线，付了四十万比特币赎金，才回头来找我。我检查他们的系统，发现连最基本的防火墙策略都没配。你猜他们的IT负责人怎么说？他说：“我们以为买了防火墙就安全了。”

你以为我在抱怨？不，恰恰相反。这种混乱恰恰是我的饭碗。漏洞测试这行，本质上是在跟人性的懒惰和侥幸心理赛跑。每个漏洞背后，都有一个“应该没事吧”的念头。那个改金额参数的开发者，可能只是图省事，没做服务端校验；那个门锁厂商，可能觉得物理设备没人会去拆；那家医疗公司，可能认为黑客不会盯上他们这种小角色。

但黑客会盯上所有人。我见过最离谱的案例，是一家幼儿园的监控系统，被人入侵后用来直播孩子们的日常。入侵者没要钱，就是觉得好玩。家长报警，警察找到我，让我溯源。我顺着IP查过去，发现是个十五岁的初中生，用网上找的现成工具干的。他连代码都看不懂，只是照着教程点了几个按钮。

所以你看，这行的门槛越来越低了。攻击者不需要多聪明，只要够坏，或者够无聊。而防御者呢？往往还在用十年前的思路。我有个老客户，每年都让我测同一套系统，每年都能测出同样的问题。他们已经习惯了，我也习惯了。反正报告照写，漏洞照修，修完再犯。这就像减肥——知道该怎么做，就是管不住嘴。

有时候我会想，如果哪天所有系统都安全了，我是不是就失业了？后来想明白了，不会的。只要人还在写代码，就会犯错。只要有人犯错，就会有漏洞。只要有漏洞，就需要我们这种人。我们不是世界的修补匠，我们是世界的镜子——照出来的，全是人类自己的粗心、急躁和侥幸。这活儿不伟大，但挺有意思。至少比坐办公室写PPT强。