2017年，样利用漏一位安全研究员在Twitter上发了一张照片：一台ATM机的洞进屏幕上显示着“请取走您的现金”，而他的行攻脚边已经堆了整整一摞百元钞票。他没插卡，样利用漏没碰键盘，洞进只是行攻往机器里塞了一根特制的USB线。这台机器运行的样利用漏是Windows XP，而它的洞进USB接口没有任何端口防护。漏洞就摆在那里，行攻像一扇没锁的样利用漏后门。

漏洞的洞进本质从来不是“技术缺陷”四个字能概括的。它更像是行攻一间屋子里被遗忘的窗户，开发商忘了装玻璃，样利用漏住户也没注意到。洞进攻击者做的行攻事情，无非是挨个推窗户，看哪扇能打开。这个过程有个专业术语叫“漏洞扫描”，但说白了就是试错。Nmap扫端口，Nessus查配置，Burp Suite抓请求，工具不同，逻辑一样——找到那扇没关严的窗。

我见过最粗暴的案例是一个校园网。管理员把数据库密码写在了前端JavaScript文件里，注释掉的那行代码还留着“TODO: remove before production”。任何打开浏览器开发者工具的人都能看到。这不是什么高级漏洞，这是把钥匙插在锁上还贴了张纸条写着“备用钥匙”。攻击者甚至不需要工具，F12就够了。

真正有意思的是漏洞利用的“链条”概念。单个漏洞往往不够致命，就像你有一把能开前门的钥匙，但保险柜还在卧室里。攻击者会把多个小问题串起来：一个信息泄露漏洞告诉你数据库版本，一个配置错误让你绕过登录，一个注入点让你读出管理员密码哈希，最后用彩虹表或者暴力破解拿到明文。每一步都不算惊天动地，连在一起就是完整的入侵路径。2015年乌克兰电网被攻击，攻击者用的就是这种“拼图”手法——钓鱼邮件拿到凭证，然后横向移动，逐层深入，最终远程断开变电站。

别把漏洞利用想得太神秘。很多攻击根本不碰代码，纯粹是人的问题。有人把内部系统暴露在公网上，有人用“admin/123456”当服务器密码，有人收到“HR发来的工资调整表”就毫不犹豫地启用了宏。技术漏洞可以打补丁，人脑的漏洞只能靠培训和怀疑精神。我认识一个渗透测试员，他进客户内网的方式是穿着快递员制服直接走进机房——物理漏洞也是漏洞。

说回技术层面。缓冲区溢出是经典中的经典。程序往一个固定大小的容器里塞数据，塞多了就溢出到相邻内存区域。攻击者精心构造溢出内容，覆盖掉返回地址，让程序跳到自己写的shellcode上执行。听起来像天书？换个说法：你往一个只能装500ml的瓶子里灌600ml水，水洒出来流到旁边电路板上，短路了，而攻击者控制了水流的方向和时机。现代系统有ASLR、DEP、栈保护，但绕过手段也在进化，ROP链就是其中一种——不直接执行自己的代码，而是把已有代码片段拼起来用。

Web层面的漏洞更贴近日常。SQL注入是把用户输入拼进数据库查询语句里，攻击者输入`' OR '1'='1`就能绕过密码验证。XSS是把恶意脚本塞进网页，其他用户浏览时脚本就在他们浏览器里跑起来，偷Cookie、改页面、重定向到钓鱼站。CSRF更隐蔽——你登录了银行网站，另一个标签页里的恶意页面悄悄向银行发送转账请求，浏览器会自动带上你的Cookie。这些漏洞的共同点是：程序太信任用户的输入了。

防御的思路其实很直接：不信任任何输入，最小化权限，纵深防御。但现实是，开发赶进度、运维图省事、用户嫌麻烦。漏洞永远存在，攻击永远在找那扇没关的窗。作为普通人，你能做的最实际的事情就三件：及时更新系统，别用弱密码，看到可疑链接别点。听起来像老生常谈，但老生常谈之所以成为老生常谈，是因为它真的有用。