凌晨三点，漏洞乌我盯着屏幕上的漏洞乌漏洞报告，后背发凉。漏洞乌一个看似无害的漏洞乌图片上传接口，居然能让人拿到整台服务器的漏洞乌root权限。攻击路径绕了三个跳板，漏洞乌最后利用的漏洞乌是开发者在配置文件里留的一行注释——那行注释写的是“临时测试用，上线前删除”。漏洞乌

漏洞这东西，漏洞乌总藏在最不起眼的漏洞乌角落。去年某家银行升级系统，漏洞乌新老数据库并行期间，漏洞乌老库的漏洞乌备份文件被同步到了公共存储桶。没有加密，漏洞乌没有访问控制，漏洞乌整整两个月，几百万条交易记录像露天矿一样裸露在公网上。发现这个问题的不是安全团队，而是一个想下载免费PDF的普通用户，他搜文件名时误打误撞点了进去。

乌云平台关停那年，我删掉了自己所有的漏洞提交记录。不是怕追责，是觉得讽刺——这个曾让无数厂商夜不能寐的漏洞报告平台，最后自己也没能逃过合规的绞索。但漏洞不会因为平台消失就停止存在，它们只是换了个地方继续生长。

上周帮朋友排查一个电商网站，问题出在第三方物流接口的签名校验上。对方服务器只验证请求来源IP，不验证请求内容是否被篡改。攻击者完全可以伪造一个“已发货”状态，让系统自动给买家退款。朋友听完一脸茫然：“这个接口是两年前外包团队写的，验收的时候只测了正常流程。”

我见过最讽刺的漏洞是某政务系统，开发者在代码里硬编码了管理员账号，密码是“Admin@123”。更离谱的是，系统上线三年，换了三任运维，没人改过这个默认口令。直到某天一个安全研究员用这个密码登录进去，发现后台可以修改全市居民的身份信息。

漏洞的本质是信任错位。信任了不该信任的输入，信任了不该信任的代码，信任了“没人会这么干”的侥幸。每次漏洞披露，厂商的第一反应往往是“这不可能，我们测过”。但安全测试永远只能证明“已知的问题不存在”，证明不了“未知的问题也不存在”。

乌云没了，漏洞还在。它们像蟑螂，你看见一只，意味着暗处已经藏了千百只。真正可怕的不是漏洞本身，而是人们总在出事之后才想起——原来那些随手写的代码，那些图省事留下的后门，那些“先上线再说”的妥协，都会在某个深夜变成刺向自己的刀。

写这段文字的时候，我又想起那个图片上传漏洞。修复方案其实很简单，只要对上传文件做二次校验就行。但开发团队排期排到了下个季度——因为他们觉得，这个漏洞“应该不会有人发现”。

你看，漏洞永远比补丁跑得快。