漏洞指什么

漏洞就是系统里一个没关严的门。你写了一段代码，漏洞逻辑上觉得滴水不漏，漏洞但只要有人输入一个你没预料到的漏洞字符串，整个程序就可能当场崩溃，漏洞或者更糟——把数据库里的漏洞用户密码全吐出来。去年我帮朋友看一个后台登录页，漏洞他信誓旦旦说“我加了防注入”，漏洞结果我随手在用户名框里敲了 ' OR 1=1 --，漏洞页面直接跳进了管理面板。漏洞他愣了半天，漏洞那表情我到现在还记得。漏洞

这种“没预料到”的漏洞输入，就是漏洞漏洞最朴素的来源。程序员脑子里默认用户会规规矩矩填手机号，漏洞可攻击者偏要填一段 ../../etc/passwd 试试能不能把服务器文件读出来。C 语言里那个经典的 gets() 函数，当年多少人用它读用户输入，结果输入超长字符串就能覆盖栈上的返回地址，让程序跳到攻击者指定的代码去执行。这不是什么高深理论，就是内存里写越界了——像往一个只能装 500 毫升的瓶子里硬灌 2 升水，水漫出来流到隔壁不该碰的地方。

漏洞不全是代码写错。配置疏忽也算。比如一个 Redis 服务没设密码就暴露在公网，谁都能连上去 FLUSHALL，数据全没。我见过一个创业公司，测试环境的数据库端口开着，密码是“123456”，结果被人扫到，勒索比特币。他们觉得“测试环境无所谓”，可那里面跑着真实用户手机号。这种漏洞跟代码质量无关，纯粹是人的侥幸心理。

“漏洞是预期行为和实际行为之间的裂缝。”——这话我记不清谁说的了，但每次看到新漏洞报告，都觉得贴切。

还有一种更隐蔽的：逻辑漏洞。代码没崩，权限校验也做了，但流程上能绕过。比如某电商 App 的优惠券，正常流程是“领取→下单→抵扣”，可有人发现，在提交订单的接口里把优惠券 ID 换成别人的，照样能减钱。这不是 SQL 注入，也不是缓冲区溢出，是业务逻辑没锁死。开发时觉得“用户不会这么干”，可攻击者偏偏就爱这么干。逻辑漏洞往往比技术漏洞更难自动化检测，因为机器不知道“这个操作不合常理”。

漏洞这东西，一旦公布，就变成“已知漏洞”。没公布的，叫 0day。0day 值钱，黑市上几万到几百万美元不等。但大部分漏洞其实很普通——一个没过滤的 <script> 标签导致的 XSS，或者一个没校验文件类型的上传点。我见过一个政府网站，上传头像的地方只在前端用 JS 检查后缀名，后端完全没管。把 shell.php.jpg 传上去，再用工具改一下 Content-Type，直接 getshell。这种漏洞每年都在各种 CTF 比赛里当签到题，可现实中依然一抓一大把。

所以漏洞指什么？指一个可以被利用的缺陷。它可能是一行代码，一个配置项，一段业务逻辑，甚至是一个人的疏忽。它不神秘，也不遥远。你写的每一行代码，都有可能成为下一个漏洞的温床。区别只在于，有没有人去找，以及找的人有没有恶意。