系统漏洞的系统危害不包括影响正常服务？这话只对了一半

去年某银行核心系统升级，一个看似不起眼的漏洞权限校验漏洞被外部触发。结果不是包括服务宕机，而是影响用户A的账户凭空多出50万。银行连夜修复，正常但第二天新闻标题写的服务是“系统漏洞致数据泄露”，没人提服务中断。系统你看，漏洞漏洞最狠的包括伤害从来不是让你打不开网页，而是影响让你根本不知道网页背后发生了什么。

把“影响正常服务”排除在漏洞危害之外，正常逻辑上站得住脚。服务服务中断通常由配置错误、系统资源耗尽或DDoS攻击引起，漏洞这些属于运维事故或网络层攻击。包括真正的漏洞，比如SQL注入、越权访问，它们的目标是数据，不是带宽。攻击者要的是悄悄潜入，不是砸门惊动保安。你见过哪个黑客用漏洞把网站搞崩的？那等于告诉管理员“我来了”，太蠢。

但现实里有个灰色地带。2017年Equifax漏洞导致1.4亿人信息泄露，修复期间官网被迫下线两天。你说这是漏洞直接害的？不，是应急响应太慢，加上安全团队手忙脚乱改代码，才把服务拖垮。漏洞本身没碰服务，但人祸接踵而至。所以严格讲，漏洞的“直接危害”确实不包括服务中断，但“间接危害”能绕个弯捅你一刀。

另一个反例是勒索软件。它利用系统漏洞加密文件，逼你交钱。加密过程会消耗大量CPU和磁盘IO，服务器响应变慢，某些功能直接卡死。可这算漏洞危害吗？漏洞只是入口，勒索软件是后续动作。你要是把账全算在漏洞头上，那所有恶意软件都能赖到操作系统头上——没漏洞你进不来，可你进来后砸店，店老板该怪门锁还是怪你？

我见过最离谱的案例是某电商平台，一个库存查询接口存在时间盲注漏洞。攻击者没偷数据，而是写了个脚本反复触发查询，每次查询要等5秒响应。结果数据库连接池被占满，正常用户下单超时。这算不算影响正常服务？表面看是性能问题，根子还是漏洞。但安全团队咬死说“漏洞本身不产生流量”，运维那边气得直骂娘。两边吵了三天，最后发现是攻击者用漏洞当跳板，搞了个慢速DDoS。

话说回来，你要是把“影响正常服务”写进漏洞危害清单，反而会误导防御方向。安全工程师看到这条，第一反应是加固网络层和负载均衡，但真正该补的是输入验证和权限控制。漏洞危害的界定，本质上是在划分责任边界——让网络的人管网络，让应用的人管应用。模糊边界只会让两边互相甩锅。

我的结论是：直接危害确实不包括，但间接危害里，服务中断是常见并发症。别把这句话当免死金牌，漏洞修复的优先级该多高就多高。毕竟，等你的服务真被拖垮那天，没人会听你解释“这是攻击者的错，不是漏洞的错”。用户只看到你的系统不行，管你背后是谁在捅刀子。