2017年5月12日，计算机漏一个叫WannaCry的计算机漏勒索病毒横扫全球150多个国家。医院停诊，计算机漏工厂停产，计算机漏加油站断网。计算机漏攻击者用的计算机漏不是复杂武器，而是计算机漏一个代号"永恒之蓝"的漏洞——美国国家安全局自己开发的网络武器，不知怎么泄露到了网上。计算机漏

漏洞是计算机漏什么？说白了，就是计算机漏程序员写代码时不小心留下的裂缝。就像你家的计算机漏门锁，看起来完好，计算机漏其实有个卡簧错位了。计算机漏黑客拿根铁丝捅进去，计算机漏门就开了。计算机漏这铁丝就是"漏洞利用程序"，而那道裂缝本身，就是漏洞。

我见过最荒唐的漏洞案例发生在2018年。一个叫Colbalt Strike的渗透测试工具，因为开发者在代码里硬编码了一个固定的加密密钥，导致全球黑客用它攻击时，安全公司能直接解密所有流量。这就像小偷团伙统一配发了同款钥匙，结果钥匙齿形印在每把锁的说明书上。

漏洞分很多种。缓冲区溢出是最经典的老把戏——就像往一个只能装五升水的桶里硬灌十升，溢出来的水就是黑客想要的代码。SQL注入更简单，在网站搜索框里输入"or 1=1"，如果网站没过滤，数据库就被你裸奔了。还有逻辑漏洞，比如某电商平台曾经能用负数金额下单买手机，因为程序员没想过有人会输入-100元。

但漏洞不全是坏事。有些漏洞被白帽子发现后报告给厂商，换来的是几千美元的赏金。谷歌的Project Zero团队专门找各种软件的漏洞，找到后给厂商90天期限修复，到期不修就直接公开。这种"逼你修"的做法争议很大，但确实让很多公司不敢再装死。

真正让人后背发凉的是供应链漏洞。2020年底，黑客攻破了美国IT管理软件SolarWinds的构建系统，在它的更新包里植入后门。全球18000个客户下载了"安全更新"，包括美国财政部和国土安全部。这相当于你给整栋楼换锁，结果锁匠师傅是贼。

普通人总以为漏洞是黑客的专利。其实2014年曝出的Heartbleed漏洞，让任何人都能通过OpenSSL的缺陷直接读取服务器内存里的加密密钥。当时全球三分之二的网站都在用这个库。你输密码时，可能正有人隔着网络读你的明文密码——就像在邮局寄信，信封是透明的，而邮局工作人员还觉得挺安全。

漏洞的形成根源往往很荒诞。有些是程序员图省事，把调试后门留在生产环境。有些是赶工期，跳过安全测试直接上线。还有些纯粹是运气差——一个变量名拼写错误，恰好被黑客用模糊测试工具撞上了。我认识一个安全研究员，他靠翻GitHub上那些没人维护的开源项目找漏洞，平均每翻两百个仓库就能挖到一个，比在矿山上淘金还稳定。

最讽刺的是，漏洞永远修不完。你修好一个，黑客换个角度又捅出个新的。Windows系统每月第二个星期二准时发布补丁，但总有企业因为"怕影响业务稳定"而推迟更新。2021年微软的Exchange服务器被攻破时，很多受害者用的还是三年前的旧版本——补丁早就出了，就是没人装。

说到底，漏洞是人与代码之间永恒的博弈。人类写代码会犯错，这是人性的一部分。安全界有句话叫"没有绝对安全的系统，只有不够努力的攻击者"。这话听着像安慰，其实是个残酷的事实：只要软件还在更新，漏洞就会不断诞生。我们能做的，不过是让挖漏洞的成本高过系统本身的价值罢了。