软件漏洞试题

去年秋天，软件某家银行的漏洞渗透测试报告里躺着一个诡异的漏洞——攻击者只需把手机时间调到2038年1月19日，就能绕过所有支付验证。试题这不是软件科幻片，是漏洞真实存在的Unix时间戳溢出。那天下午我盯着复现步骤，试题突然意识到：软件漏洞从来不是软件代码的偶然失误，而是漏洞开发者与时间、逻辑、试题人性签下的软件对赌协议。

试题一：给一段C代码，漏洞里面有个`strcpy`。试题大多数考生会条件反射地写“缓冲区溢出”，软件但真正该问的漏洞是：这个函数为什么还活着？三十年了，编译器警告、试题静态扫描工具、甚至ChatGPT都能指出问题，可生产环境里依然躺着一堆`strcpy`。不是程序员蠢，是遗留系统像老城区的地基——你不敢拆，拆了整栋楼塌。漏洞试题的荒谬之处就在这里：我们考的是“如何发现洞”，现实却逼着人回答“如何带着洞活下去”。

有个细节特别有意思。某次CTF比赛出过一道题，漏洞藏在图片的EXIF信息里，需要先解出GPS坐标，再根据坐标找到某个公园长椅下的U盘。参赛者骂骂咧咧，说这是地理寻宝不是安全竞赛。但出题人后来解释：真实攻击里，社会工程学永远比纯技术更致命。你看，试题里最遭恨的环节，反而最贴近实战——漏洞的入口从来不在代码层，而在人的注意力缝隙中。

换个角度说，漏洞试题的更新速度永远追不上漏洞的变异速度。去年流行考反序列化，今年满屏都是AI提示词注入。有个朋友在甲方做安全，他吐槽：内部考核题库还停留在SQL注入和XSS，可新来的实习生已经在用大模型生成钓鱼邮件，绕过所有传统检测。这就像驾校还在教踩离合，街上全是自动驾驶。不是试题错了，是整个世界都在跳变，而考试天然滞后。

但最讽刺的案例来自一次漏洞赏金计划。某厂商悬赏十万美金找零日漏洞，一个白帽提交了——结果发现那个漏洞是厂商自己埋的“蜜罐”，目的是钓鱼抓黑产。试题变成局，答题人变成题。这事传开后，圈子里有人拍手叫好，有人觉得恶心。我倒是理解厂商：当漏洞交易黑市比官方赏金高出百倍时，谁还分得清出题人和作弊者的边界？

说到底，软件漏洞试题考的不是技术，是判断力。给你一个看似无害的整数溢出，你要能联想到它可能被用来操纵内存分配；给你一段日志注入的代码，你得意识到攻击者可能借它篡改审计记录。真正的考题永远在试卷之外——比如，当修复漏洞的成本高于被攻击的损失时，你是不是该建议客户别修？这种问题没有标准答案，但每一个合格的安全工程师都在心里考过千百遍。

所以，下次看到漏洞试题时，别急着翻CWE列表。先问自己：出题人想让我看见什么？他又在隐藏什么？毕竟，最高明的漏洞，根本不在代码里——它藏在你对“漏洞”这两个字的固有认知中。