去年冬天，防漏我帮一个做跨境电商的洞攻朋友看服务器日志。凌晨三点，防漏他的洞攻数据库里凭空多出几十条管理员账号——攻击者没用什么高深手段，就是防漏拿一份泄露的密码字典，对着后台登录接口反复试。洞攻这事让我意识到，防漏绝大多数所谓的洞攻“漏洞攻击”，本质是防漏防守方在某个环节偷了懒。

漏洞攻击不神秘。洞攻它分两类：一类是防漏软件本身有缺陷，比如缓冲区溢出、洞攻SQL注入；另一类是防漏配置或管理出了岔子，比如弱口令、洞攻开放了不该开放的防漏端口。前一类靠补丁，后一类靠人。而人往往比代码更不靠谱。

拿SQL注入来说。很多年前我参与过一个政府网站的应急响应，攻击者在一个查询参数后面加了个单引号，页面直接报错，把数据库类型和版本吐了出来。再往下，用联合查询就能拖库。开发人员当时觉得“参数过滤太麻烦”，结果整个市民信息表被导走。这事没上新闻，但教训很直接：输入验证不是可选项，是底线。

缓冲区溢出听起来更底层，其实逻辑一样——程序没检查数据长度，多出来的字节覆盖了相邻内存。攻击者精心构造一串字符，就能让程序跳去执行自己的代码。2003年的冲击波蠕虫就是典型，它利用Windows的RPC漏洞，几十万台机器瘫痪。现在这类漏洞少了，但物联网设备里一抓一大把。我家里那台老路由器，固件三年没更新，扫描一下全是CVE。

配置错误更常见。有人把Redis绑在0.0.0.0还不设密码，有人把AWS的S3桶设成公开可写。去年某车企的测试环境数据库就这么暴露了，里面几百万条用户记录。攻击者甚至不用“攻击”，直接连上去就行。这算漏洞吗？算。但根子上是运维图省事。

防漏洞攻击，第一件事是知道自己有什么。资产清点听起来无聊，可你连自己有多少个IP、多少个域名、多少个对外接口都不清楚，谈何防护？我见过一家公司，安全团队以为对外只有三个网站，结果扫描发现十七个。多出来的那些，是业务部门自己买的云主机。

第二件事是补丁管理。别追求“最新”，追求“可控”。先把互联网暴露面梳理出来，按优先级打补丁。Windows的永恒之蓝补丁，微软在攻击发生前两个月就发了，可内网里照样一堆没打的机器。不是没时间，是没流程。

第三件事是别信任任何输入。前端校验是给用户体验的，后端校验才是保命的。参数化查询、白名单过滤、输出编码，这些老掉牙的手段，至今能挡住八成以上的注入类攻击。我见过一个团队用ORM框架，以为万事大吉，结果在拼接排序字段时又栽了。框架不背这个锅。

最后说个反直觉的观察：很多漏洞攻击成功，不是因为攻击者多强，而是因为防守方在“正常”和“异常”之间划错了线。比如登录失败一百次，系统只记日志不告警；比如半夜三点从境外IP登录管理员账号，风控当没看见。异常检测不需要多智能，先把基础规则跑起来。

防漏洞这事，没有银弹。它是一堆琐碎工作的叠加：打补丁、改配置、审代码、看日志。每一样都不难，难的是每天都做。攻击者只需要找到一个没做的点，而防守方要守住所有点。不公平，但这就是现实。