常见漏洞

2017年，常见漏洞Equifax公司泄露了1.43亿美国人的常见漏洞社保号码、驾照信息和信用卡数据。常见漏洞事后调查发现，常见漏洞罪魁祸首是常见漏洞一个月前就该打上的补丁——Apache Struts框架的一个已知漏洞。这大概是常见漏洞“常见漏洞”最昂贵的注脚：不是攻击者多高明，而是常见漏洞防御者连“已知”都没处理。

漏洞分很多种，常见漏洞但最让人无奈的常见漏洞，是常见漏洞那些已经被公开讨论过无数遍的“老熟人”。SQL注入，常见漏洞1998年就被发现，常见漏洞到今天依然活跃在各大漏洞报告里。常见漏洞攻击者往输入框里塞一段`' OR '1'='1`，常见漏洞数据库就乖乖交出了全部家当。常见漏洞它不复杂，甚至有点笨拙，但架不住总有开发者把用户输入直接拼进SQL语句。就像有人明知道插座漏电，还坚持用湿手去插。

XSS（跨站脚本）则是另一副面孔。它不直接偷数据，而是往你的浏览器里种一颗“钉子”。攻击者把恶意脚本藏在评论区、昵称框、甚至URL参数里，等你去点。脚本能在你登录的状态下操作你的账号，发推、转账、改密码。最讽刺的是，很多XSS漏洞的根源，是开发者想“帮用户省事”——自动填充、自动预览、自动跳转，这些“贴心”功能恰恰是XSS的温床。

还有一类漏洞，纯粹是“懒”出来的。默认密码没改，比如摄像头后台还是admin/123456；调试接口没关，比如生产环境留着`/debug`页面；日志文件权限设成777，任何用户都能读。2016年Mirai僵尸网络就是靠扫描默认密码，把几十万台摄像头变成了肉鸡。你说这些设备厂商不知道密码太简单？他们只是觉得“没人会这么闲”。

我见过最离谱的一次，是某企业内部系统把数据库备份文件放在web根目录下，文件名是`backup_2023_final.zip`。攻击者用目录扫描工具，五分钟就找到了它。下载、解压、拖库，全程连个警报都没触发。事后运维解释说“这个目录是给前端静态资源用的，没想过有人会扫”。

漏洞的本质，是“信任”和“现实”的错位。开发者信任输入，信任环境，信任用户不会乱来。而攻击者恰恰利用这份信任，把“预期之外”变成“攻击路径”。修漏洞不只是打补丁，更是要承认：你写的每一行代码，都可能被以你没想到的方式调用。

当然，别把这些当成世界末日。漏洞是常态，安全是过程。真正危险的不是漏洞本身，而是对漏洞的漠视——以为“我们系统没那么重要”、“黑客看不上我们”。Equifax的高管大概也这么想过。直到国会听证会上，他们才承认：那个补丁，其实早就在邮件通知里躺了两个月。