2023年冬天，网络某三甲医院的安全挂号系统突然瘫了四个小时。挂号窗口排起长队，漏洞急诊病人堵在门口。用途事后查明白，网络攻击者没用什么高级手段，安全就是漏洞盯上了一个五年没更新的Struts2框架——漏洞补丁2017年就发布了，运维嫌升级麻烦，用途一直拖着。网络这事让我意识到，安全聊漏洞利用，漏洞得先看清一个事实：大多数被攻破的用途系统，不是网络败在攻击者多高明，而是安全败在自己懒得修。

漏洞利用的漏洞第一条路，走的是"公开情报"这条捷径。CVE数据库、Exploit-DB、GitHub上的POC代码，全是公开的。一个漏洞从披露到出现可用的利用工具，现在平均不到48小时。2017年永恒之蓝泄露后，一周之内全球就冒出十几个勒索软件变种。攻击者不需要自己挖漏洞，他们只需要比防守方快一步。我见过一个小型电商网站被拖库，用的就是三年前某CMS的SQL注入POC，代码原封不动从GitHub抄下来，改了个目标IP就开干。

第二条路更隐蔽：供应链投毒。你防守再严，总得用第三方组件吧？Log4j那个洞出来的时候，多少团队连夜加班——不是自己代码有问题，是引用的日志库炸了。SolarWinds事件更典型，攻击者直接在软件更新包里塞后门，18000个客户自动下载安装。这条路绕开了所有边界防御，因为恶意代码是"合法"签名的，防火墙根本拦不住。我观察到一个趋势：攻击者越来越喜欢打供应链，因为投入产出比太高了。攻破一个供应商，等于同时攻破它所有下游客户。

第三条路是钓鱼加漏洞的组合拳。单纯发钓鱼邮件，用户可能不点。但如果邮件里嵌一个浏览器0day，打开就中招，连点击链接都省了。2021年某安全研究员演示过，一个未修复的Chrome漏洞配合精心构造的网页，访问即执行任意代码。攻击者现在会把漏洞利用套件打包成"发票.pdf"或者"会议纪要.doc"，用社交工程降低戒心，再用技术漏洞完成突破。防守方这边，员工安全意识培训做了，邮件网关部署了，但浏览器补丁没打全，照样破防。

还有一条路经常被忽略：配置错误比代码漏洞更致命。S3存储桶公开可写、Redis未授权访问、Elasticsearch裸奔在公网——这些不是代码写错了，是部署时图省事。我扫过一批暴露在公网的MongoDB，四成以上没设密码。攻击者连漏洞都不用找，直接连上去把数据打包带走。有个案例是某创业公司，数据库端口对公网开放，被加密勒索，黑客留的比特币地址三年没变过——说明这拨人靠这一招吃了三年。

漏洞利用的门槛在肉眼可见地降低。自动化扫描器、现成的利用框架、AI辅助的钓鱼内容生成，让脚本小子也能造成实际破坏。但反过来看，大部分成功入侵针对的都是已知漏洞和低级错误。补丁管理、最小权限、网络隔离——这些老生常谈的事做到位，能挡掉八成以上的攻击。问题从来不是技术不够先进，是执行不够彻底。