凌晨三点，补天我盯着屏幕上那个反复弹出的漏洞红色报错框，终于明白为什么同事都管这台服务器叫“筛子”。补天日志文件里密密麻麻的漏洞访问记录，全是补天扫描器在试探端口。这场景让我想起小时候看奶奶补袜子——明明破洞就那一个，漏洞可线头一扯，补天周围全跟着松散。漏洞
真正的补天漏洞从来不是技术问题，是漏洞人的问题。上个月某电商平台泄露用户数据，补天技术团队连夜修复了那个被利用的漏洞SQL注入点。可事后复盘才发现，补天漏洞早在三年前就存在，漏洞当时写这段代码的补天程序员刚入职，照着网上教程拼出来的查询语句。没人审查，没人测试，代码就这么上了生产环境。你说这是技术漏洞吗？分明是管理漏洞。
我见过最离谱的一次，某公司安全部门花大价钱买了全套防护设备，结果配置文档就扔在共享盘里，密码是“123456”。黑客进得比自家员工还顺畅。这就像给保险柜装了十把锁，钥匙全挂在门口挂钩上。
但补漏洞这事儿，有时候也透着股黑色幽默。去年某开源库被发现后门，全球几百万个项目受影响。安全社区连夜发补丁，可你猜怎么着？真正动手修的人不到三成。剩下那些项目维护者要么没看到公告，要么觉得“应该不会有人盯上我这种小项目”。结果黑客专挑这种“小项目”下手——大厂打不动，小虾米一抓一个准。
漏洞盒子这名字取得妙。盒子意味着边界，可互联网哪有什么边界？你封住一个入口，人家从侧窗爬进来；你堵上侧窗，人家干脆撬地板。上个月我们给客户做渗透测试，花了三天时间，最后是从他们打印机固件里找到的突破口——谁能想到打印机会成为跳板？
说到底，安全是个动态博弈的过程。你以为补上了漏洞，其实只是把问题推到了别处。就像那个经典段子：两个人遇到熊，不用跑赢熊，跑赢同伴就行。现在的攻防战，比的不是谁更坚固，而是谁比对手更早发现下一个破绽。
我电脑里存着个文件夹，叫“补不完的洞”。里面记着这些年遇到的各种奇葩漏洞——从智能门锁的蓝牙配对缺陷，到某银行APP的越权访问。每次以为修干净了，过段时间又有新变种冒出来。朋友问我干这行会不会有挫败感，我说恰恰相反——这行永远不会失业，因为人类永远在制造新的漏洞。
就像奶奶补袜子，补丁摞补丁，最后袜子硬得能当锤子用。可那又怎样？至少脚趾头不会露在外面吹风了。系统也一样，千疮百孔是常态，但每补上一个洞，就意味着某个半夜不用被电话叫醒爬起来应急。这大概就是安全工程师最朴素的成就感了。