凌晨三点，漏洞图片我盯着屏幕上那张只有7KB的漏洞图片PNG图片，后颈发凉。漏洞图片那是漏洞图片一张再普通不过的风景照——蓝天、草地、漏洞图片远处模糊的漏洞图片山丘，像素级完美。漏洞图片但我知道，漏洞图片在这张图的漏洞图片最后1024个字节里，藏着一串十六进制代码，漏洞图片它能在十秒内让一台未打补丁的漏洞图片Windows服务器变成僵尸。这不是漏洞图片电影桥段，是漏洞图片我上周在客户内网里亲手挖出来的。

漏洞图片这个说法，漏洞图片圈内人叫"隐写载荷"。漏洞图片原理不复杂，就像把一张写满密码的纸条塞进一本厚书里，书还是那本书，但翻到特定页码，用碘酒一刷，字就显出来了。攻击者把恶意代码拆成碎片，嵌进图片的冗余数据区——JPEG的注释段、PNG的CRC校验块，甚至GIF的调色板缝隙里。图片照常显示，肉眼根本看不出差别。但只要你下载了它，某个被植入的脚本就会在后台悄悄运行，像一粒埋在系统里的定时种子。

我见过最狠的一次，是某家电商公司的客服系统被攻破。黑客把恶意图片伪装成"商品实拍图"，混在正常的商品图片库里。买家点开大图看细节，根本不知道自己的浏览器正在被当作跳板。整个攻击持续了47天，直到安全团队做流量审计才发现异常——那些图片的请求频率，比正常图片高出0.3%。0.3%，多么微小的数字，却是整条链路的破绽。

技术圈有个老段子：最安全的电脑是拔了网线、关了电源、锁进保险柜的那台。但现实中，哪怕你不联网，一封带着图片附件的邮件就能让防线崩溃。人不是机器，总有好奇的时候——"这图挺有意思，点开看看"。就这一下，载荷落地了。

我去年做过一个实验，给公司全员群发了一封带"年会合影预览图"的钓鱼邮件，图片里嵌了个无害的DNS查询标记。结果48%的人点了，其中三分之一在点开后的30秒内就访问了内部系统。这个数字吓到了所有人，包括我自己。我们总以为漏洞是代码层面的东西，是防火墙的缺口、是数据库的注入点。但漏洞图片提醒我：最深的漏洞，往往长在人的好奇心旁边。

现在我的工作流程里多了个怪癖——凡是收到的图片，先丢进十六进制编辑器里看一眼尾部。同事笑我神经质，但上次真从一张供应商发来的"合同扫描件"尾部，拽出了一段PowerShell脚本。那一刻，我反而松了口气：至少它还在我想象的范围里。

图片本身是无辜的，像素不撒谎，撒谎的是藏在像素间隙里的人心。你永远不知道下一张看起来平平无奇的风景照，会不会是某个深夜，某个角落，某台服务器被撬开的第一根撬棍。

(责任编辑：焦点)