凌晨两点，漏洞站长我蹲在机房角落，漏洞站长看着屏幕上跳动的漏洞站长红色告警。

服务器被入侵了。漏洞站长不是漏洞站长那种花里胡哨的挂马，也不是漏洞站长勒索软件。对方只是漏洞站长静悄悄地删掉了几个关键日志文件，然后留下一个文本文档，漏洞站长里面写着：“你们的漏洞站长漏洞修复速度，比隔壁老王家的漏洞站长宽带还慢。”

我盯着这句话看了很久，漏洞站长最后忍不住笑出声来。漏洞站长这人有点意思。漏洞站长

我叫林达，漏洞站长圈子里的漏洞站长人都叫我“漏洞站长”。不是因为我擅长找漏洞，而是因为我运营着一个专门收集漏洞信息的个人网站。这个网站没有任何防护措施，甚至连个像样的防火墙都没装。我故意这么干的——漏洞猎人需要诱饵，而我，就是那个把诱饵挂在嘴边的鱼。

网站上线第三个月，就有人摸进来了。第一次被入侵时，我慌得不行，连夜备份数据，想着要不要直接关站。但后来我发现，每次被入侵，都会在服务器日志里留下一些有意思的痕迹——攻击者用的工具、他们尝试的路径、甚至偶尔留下的注释。这些东西比任何安全书籍都来得生动。

于是我开始故意留后门。不是那种隐蔽的后门，而是大大方方地写在网站源码注释里：“这里有个SQL注入点，欢迎练习。”结果一周之内，我收到了七种不同的攻击手法，其中三种是我从来没见过的。

有个家伙特别执着，连续一个月每天凌晨三点准时来扫描我的服务器。我索性在页面底部加了一行小字：“哥们儿，你扫描的时候能不能动静小点？我夜班困着呢。”第二天，那条日志里多了一条回复：“抱歉，下次我轻点。”

这行字让我笑了整整十分钟。

后来我们加了即时通讯，聊多了才知道他是个刚入行的安全测试员，拿我的网站练手。他说我的网站像个漏勺，哪儿都是洞，但偏偏就是不塌——这让他很挫败。我告诉他，真正的漏洞不是代码层面的，而是你对系统的理解不够深。

他问我什么意思。我给他讲了个故事。

去年夏天，有个黑客攻破了某大型电商的数据库，拿到了几百万条用户信息。但他没卖，也没勒索，只是给管理员留了封信：“你们的密码策略太弱了，我用了十分钟就猜出了管理员的生日。建议你们换一种方式存密码。”

管理员报了警。警方追踪了三个月，最后发现那是个十五岁的少年。

少年说，他只是在测试自己的“漏洞嗅觉”。

你看，漏洞这东西，有时候不是技术问题，是人性的疏忽。密码设成生日、后台地址写在代码注释里、API密钥明文存储——这些不是代码漏洞，是思维漏洞。而修复它们，需要的不是更好的防火墙，而是更清醒的头脑。

我的网站到现在还在运行。每天依然有人试图攻破它，我依然会在日志里发现新的攻击手法。有时候我会在服务器上留个文件，里面写着：“今天这个上传漏洞利用得不错，但你可以试试配合路径穿越，效果更好。”

第二天，攻击者果然照做了。

我老婆问我，天天被人攻击不烦吗？我说，这就像下棋，你永远不知道对手会走哪一步。而我，只是把棋盘摆在路边，等着看谁会坐下来。

漏洞站长这个名号，其实挺名副其实的——我站着的，是每一个漏洞背后的那片空白。谁先踩进去，谁就赢了。