我盯着一台被攻破的网站服务器发呆。攻击者留下的漏洞后门文件叫“cache.php”，伪装得毫无破绽，网站藏在图片上传目录里。漏洞真正让我后背发凉的网站，不是漏洞这个文件本身，而是网站它进来的方式——仅仅因为管理员偷懒，把后台地址从默认的漏洞/admin改成了/guanli，然后用了密码admin123。网站

网站的漏洞漏洞从来不是高深的代码艺术，大多数时候就是网站这种“人味儿”十足的疏忽。你以为漏洞是漏洞SQL注入那种需要绕半天引号的精巧攻击？错了。最常见的网站漏洞叫“默认配置”，就像你家门锁是漏洞厂家统一配的，钥匙人人都有。网站我见过某政府网站，后台路径直接写在robots.txt里，生怕黑客找不到。

还有一种漏洞更隐蔽，叫“信任用户输入”。程序员写代码时默认用户都是好人，提交什么就存什么。结果有人在上传头像时，文件名写成shell.php.jpg，服务器傻乎乎地存下来，访问时却当成PHP执行了。这种攻击不费吹灰之力，就是利用了程序员的“好心”。

别急着笑话这些低级失误。有些漏洞藏在业务逻辑里，防不胜防。电商网站改个价格参数试试？把商品单价改成0.01元，下单付款，系统居然通过了。这不是代码漏洞，是规则漏洞。程序员压根没想到有人会这么干，就像你没想到有人会往自动售货机里塞铁片。

最气人的是，很多网站明明有漏洞，却没人管。我认识一个白帽子，他提交漏洞报告给某银行，对方回复“感谢反馈”，然后半年没修复。为什么？因为修漏洞要改代码，改代码要测试，测试要排期，排期要领导审批——等流程走完，漏洞早被黑产利用了。

其实漏洞的本质是“预期和现实的落差”。你预期用户输入的是正常文本，结果来的是恶意脚本；你预期服务器只执行自己的代码，结果别人上传的文件也能运行；你预期密码加密存储，结果数据库泄露后全是明文。每个漏洞背后，都有一个“我以为”在作祟。

这几年我反而觉得，漏洞越修越多是常态。网站越复杂，交互越频繁，预期和现实的落差就越大。你加了个验证码，黑客就搞打码平台；你上了WAF，攻击者就找绕过规则。这像打地鼠，永远打不完。

但有个残酷的事实：90%的漏洞攻击，用的都是公开已久的已知漏洞。永恒之蓝漏洞公布后，还有大量内网机器中招，不是因为没有补丁，而是没人去打补丁。技术问题最后都变成了管理问题。

所以你要问网站的漏洞是什么，我会说：不是代码写错了，是人以为写对了就够了。服务器日志里躺着几千次扫描记录，网站管理员却觉得“我们小网站没人盯”。直到某天醒来，首页被篡改成“Hacked by xxx”，才想起来——原来我早该看看那些日志的。