漏洞带来的危害

2017年5月，漏洞勒索病毒WannaCry在短短几天内席卷了150多个国家，危害超过20万台电脑被锁死。漏洞英国国家医疗服务体系（NHS）多家医院被迫取消手术和门诊，危害医生们盯着屏幕上红色的漏洞勒索弹窗，手里攥着纸质病历本，危害整个急诊流程倒退回了几十年前。漏洞这不是危害电影情节，是漏洞一个未打补丁的Windows漏洞——永恒之蓝——造成的真实后果。

漏洞这东西，危害平时看不见摸不着。漏洞它藏在代码的危害某个角落里，可能是漏洞一个边界检查没做，可能是危害一个权限验证被绕过，也可能只是漏洞一个老旧的组件忘了更新。开发者写代码的时候，脑子里想的是功能怎么跑通，很少会去琢磨“如果有人故意构造一个畸形输入会怎样”。这种思维盲区，就是漏洞的温床。

我认识一个做企业安全运维的朋友，他跟我讲过一个事。他们公司内部有一套OA系统，用了七八年，一直没出过问题。直到某天，一个离职员工用之前留下的测试账号登录进去，发现那个账号居然还有管理员权限。他什么也没干，就是截了个图发到群里。朋友说，当时他后背全是汗——如果这个人不是善意提醒，而是直接删库或者植入后门，整个公司的业务数据就全完了。一个权限没回收，等于给所有人留了一扇没锁的后门。

漏洞被利用的方式，往往比我们想象的更“朴素”。不需要什么高深的技术，有时候就是一个默认密码没改。2016年，美国DNS服务商Dyn遭到大规模DDoS攻击，导致Twitter、Netflix、GitHub等一大片网站无法访问。攻击者用的僵尸网络，很大一部分是由Mirai恶意软件控制的物联网设备——摄像头、路由器、DVR。这些设备被感染的原因简单到可笑：出厂默认用户名和密码是admin/admin，用户买回来插上电就再也没管过。几十万台设备，就这么成了攻击者的“士兵”。

更让人不安的是，漏洞从被发现到被利用的时间窗口越来越短。以前一个漏洞公布后，攻击者可能需要几周甚至几个月才能写出利用工具。现在呢？有些漏洞在补丁发布几个小时后，就有公开的exploit代码在流传。防守方还在评估影响范围、安排停机窗口、走变更审批流程，攻击方已经拿着现成的工具扫遍了全网。这种速度差，本身就是一种结构性危害。

危害的传导链条也很少是单一的。一个漏洞可能导致数据泄露，数据泄露可能引发身份盗用，身份盗用可能造成财产损失，财产损失可能演变成法律纠纷和信任崩塌。2018年，某快递公司被曝出10亿条用户信息在暗网兜售，起因是一个内部系统的SQL注入漏洞。后来有受害者接到精准诈骗电话，对方能报出他的姓名、地址、最近买过什么东西。他挂了电话，坐在沙发上愣了很久——那种“被看光”的感觉，比丢钱更让人难受。

企业层面，漏洞带来的损失往往被低估。直接的经济赔偿、监管罚款、应急响应的人力成本，这些还能算出来。算不出来的是客户流失和品牌折价。Equifax因为一个Apache Struts漏洞泄露了1.47亿人的敏感信息，事后市值蒸发了几十亿美元，CEO和CSO相继离职。更讽刺的是，这个漏洞的补丁在泄露发生前两个月就已经发布了。他们没打。

说到底，漏洞的危害不在于漏洞本身有多“高级”，而在于它暴露了我们在安全上的侥幸心理。总觉得“没那么巧轮到我”，总觉得“先上线再说，安全后面补”。可攻击者不跟你讲概率，他们只找那个没锁的门。一扇就够。