漏洞情况

上周二凌晨两点十七分，漏洞情况我的漏洞情况手机屏幕突然亮起。不是漏洞情况闹钟，是漏洞情况服务器监控推送——某电商平台数据库连接数飙到峰值的三倍。我摸黑爬起来，漏洞情况打开笔记本，漏洞情况冷汗顺着脊背往下淌。漏洞情况这感觉太熟悉了，漏洞情况像胃里沉了一块冰。漏洞情况

漏洞从来不是漏洞情况突然出现的。它们像墙角的漏洞情况霉菌，先是漏洞情况一小点，等你发现时，漏洞情况整面墙已经黑了。漏洞情况这次的漏洞情况问题出在一个第三方登录接口上。开发小哥图省事，直接用了官方文档的示例代码，连密钥都懒得改。结果呢？攻击者用一串精心构造的字符串，绕过了整个身份验证层。就这么简单。没有花哨的零日漏洞，没有复杂的缓冲区溢出，就是一个“默认密码没改”的低级失误。

我盯着日志文件，时间戳密密麻麻地排列着。攻击从凌晨一点开始，持续了四十七分钟。对方像在自家后院散步一样，从容地翻看了七万三千条用户记录。姓名、手机号、收货地址，全裸奔。最讽刺的是，系统里的风控模块一直在正常工作，它忠实地记录了每一次异常访问，然后……然后什么都没做。因为阈值设得太高，这种“慢速爬行”式的访问根本触发不了警报。

修复漏洞只花了二十分钟。改密钥，加验证，重新部署。但真正的问题在于，我们花了整整三个月才意识到这个漏洞存在。安全扫描工具每周都跑，报告堆了半米高，可谁也没把那个“中危”级别的提示当回事。中危嘛，不痛不痒，排期永远在“有空再说”那一栏。直到用户数据被挂在暗网上论斤卖，大家才想起来翻那份报告。

事后复盘会议上，安全主管说了一句话让我记到现在：“漏洞不是技术问题，是优先级问题。”他说得对。代码是人写的，流程是人定的，警报是人忽略的。再坚固的防火墙也挡不住人的惰性。你看，连银行都能被钓鱼邮件骗走数亿，我们凭什么觉得自己比银行更聪明？

那天早上六点，太阳升起来的时候，我终于把补丁打完了。窗外有鸟在叫，楼下早餐摊飘来油条的香气。一切看起来和昨天没什么两样，但我清楚，有些东西已经变了。就像你发现自家门锁其实一捅就开，即使换了新锁，每次出门前还是会多拧两下确认。那种踏实感，永远地缺了一角。

后来我把这次事件写进团队手册，开头只有一句话：“永远别信默认配置。”现在每个新来的同事都会看到这句，有人笑我小题大做，有人认真记在笔记里。我不知道哪个反应更让我安心。漏洞就像薛定谔的猫，你不去观测它，它就不存在——直到某个凌晨两点十七分，它突然跳出来咬你一口。