漏洞这东西，漏洞现最迷人的漏洞现地方在于它总在你想不到的地方冒出来。上周我帮朋友修一台老笔记本，漏洞现系统是漏洞现Win7，早该淘汰了，漏洞现但他舍不得里面一堆工程图纸。漏洞现开机，漏洞现弹出一个补丁安装失败的漏洞现红色警告，我顺手点开详情——好家伙，漏洞现那补丁是漏洞现2017年的，编号KB4012212，漏洞现对应的漏洞现正是“永恒之蓝”漏洞的修复程序。四年了，漏洞现这台机器一直在裸奔，漏洞现像个没穿防弹衣的漏洞现士兵在战场上晃悠，愣是没挨枪子儿。

但运气这东西，从来不是永久的。2017年5月，WannaCry勒索病毒横扫全球时，英国国家医疗服务体系直接瘫痪，手术被迫取消，病人躺在推车上等。攻击者用的就是“永恒之蓝”——一个NSA自己囤了五年的漏洞，被黑客组织Shadow Brokers偷出来公之于众。讽刺的是，微软早在3月就发布了补丁，但医院那套老系统没人愿意停机更新。停机会耽误看病，更新怕出兼容问题，结果病毒一来，整个系统彻底停摆。这不是技术问题，是决策问题。

漏洞的另一层玄机在于，它往往不是“坏”出来的，而是“好”出来的。程序员写代码时，脑子里想的是正常流程：用户输入用户名，密码，点登录，进入主页。没人会特意去想，如果用户名里塞一段SQL语句会怎样。但偏偏有人这么干——所谓“注入攻击”，就是把你的好心当成驴肝肺。我见过最离谱的一次，是某电商平台在促销页面里，把商品ID直接拼进数据库查询语句，没做任何过滤。结果是，有人用一串精心构造的字符，把后台所有用户的手机号和住址全拉走了。那个页面我后来看了代码，就一行拼接，干净利落得像把钥匙，正好捅进锁孔。

你说这是程序员蠢吗？不，他只是没往那方面想。人脑的默认模式是“按常理出牌”，但黑客的默认模式是“找非常理”。这种思维差异，比任何技术鸿沟都难跨越。所以你看，真正可怕的不是漏洞本身，而是我们总在事后才意识到，原来“正常”的定义那么脆弱。

还有个更隐蔽的坑——逻辑漏洞。不需要什么高深技术，纯粹是业务规则设计得有缝。前两年有个银行APP，转账验证码居然可以无限次重试，而且验证码是六位数字。攻击者写个脚本，每秒试10次，最多11个小时就能暴力破解。更妙的是，那个APP在验证码输错五次后，不会锁定账户，只会弹个提示“请稍后再试”，稍等两秒又能继续。这哪是安全机制，分明是给黑客递梯子。后来被曝光，银行紧急修复，但据说已经有几百个账户被扫了一遍。

我常想，漏洞这东西就像墙上的裂缝，平时看不见，但风一吹，雨一淋，它就在那儿。你不可能造一堵永不裂缝的墙，但至少得定期检查，看到裂缝就补。问题是，大多数人连检查都懒得做——毕竟，没出事的时候，安全预算总是第一个被砍的。

说回那台老笔记本，我最后给朋友装了个独立防火墙，又手动把补丁打上。他问我：“这就能防住了？”我说：“不能，但至少你从裸奔变成了穿条短裤。”他笑了，我也笑了。漏洞永远会有，但真正的安全感，不是来自无懈可击的系统，而是来自你愿意承认——它迟早会破。然后，你再去补。