凌晨两点，扫描漏洞我盯着屏幕上的扫描漏洞Nessus扫描报告，第无数次怀疑自己是扫描漏洞不是选错了行当。那台被标记为“高危”的扫描漏洞服务器，像一颗埋在机房的扫描漏洞定时炸弹，而距离上次全量扫描，扫描漏洞才过了不到七十二小时。扫描漏洞
漏洞这东西，扫描漏洞跟感冒病毒差不多。扫描漏洞你刚把流鼻涕的扫描漏洞症状压下去，它转头就变异成嗓子疼。扫描漏洞上周刚给财务系统打了补丁，扫描漏洞这周登录接口又冒出来一个SQL注入点。扫描漏洞更气人的扫描漏洞是，有些漏洞就明晃晃地躺在那里，扫描漏洞像故意挑衅——比如那台测试环境里挂着默认口令的数据库，文档里写了八百遍“上线前必须改”，结果人家运维小哥交接完就休假去了，一休就是半个月。
扫描工具其实挺笨的。它只会按着签名库里的老剧本挨个试探，稍微绕个弯的漏洞就抓瞎。真正值钱的扫描，是拿工具当探针，自己心里得有个活地图。哪块业务最近改了代码，哪个端口新开了服务，哪个外包团队又偷偷往生产环境塞东西——这些信息比任何扫描器都金贵。上个月隔壁组出的事故就是这么来的：外包商为了赶进度，直接往公网服务器上丢了个带后门的调试接口，扫描器根本没报，因为那接口压根不在常规端口列表里。
我认识一个老前辈，他做渗透测试有个怪癖——先翻垃圾桶。不是开玩笑，他真从客户公司楼下的废纸堆里翻出过带密码的便签纸。他说扫描漏洞扫的是机器的漏洞，可人脑子的漏洞才最要命。密码贴在显示器边框上的，把敏感文件传到私人网盘的，用生日当VPN口令的——这些“人形漏洞”比任何CVE都难补，因为补丁得打到习惯里。
不过也别把扫描想得太玄乎。说白了，它就是个定期体检，查查血压血脂，看看有没有新长出来的息肉。真正要命的不是查出毛病，而是查出毛病之后没人管。我见过最讽刺的场景：某公司花大价钱买了企业版扫描平台，每周自动出报告，结果报告躺在邮箱里积了三个月的灰。安全经理倒是勤快，每次开例会都念PPT：“本月新增漏洞XX个，已修复XX个。”可底下人都清楚，那些“已修复”不过是把告警级别从“高”改成“中”而已。
扫描这事儿干久了，人会变得特别务实。什么“零日漏洞”“APT攻击”听着吓人，但现实中八成风险都来自那几个老掉牙的配置错误。就像你担心被外星人绑架，结果家门口的下水道盖子才是每天踩着的隐患。我现在看到高危漏洞反而淡定，最怕的是那种“低危”的——它可能现在不疼不痒，但谁知道哪天跟别的条件一组合，就成了突破口。
早上六点，报告终于跑完了。我点了杯美式，开始逐条核对那些红色标记。窗外天刚亮，保洁阿姨推着车经过机房，冲我笑了笑。她肯定不知道，这层楼里几十台机器，刚刚又经历了一轮无声的攻防演练。我抿了口咖啡，把最要紧的三个漏洞截图发给运维群，附了句：“今天能修不？”——这大概就是这行的浪漫：你永远不知道下一个漏洞藏在哪行代码里，但你知道，总得有人在天亮前把它揪出来。