漏洞纪录片

2017年5月12日，漏洞伦敦一家医院的纪录急诊室突然陷入混乱。电脑屏幕闪烁蓝色错误代码，漏洞护士们翻出纸质病历本，纪录医生用圆珠笔开处方。漏洞同一时刻，纪录俄罗斯内政部、漏洞西班牙电信、纪录联邦快递、漏洞中国高校的纪录机房，都在经历同样的漏洞崩溃。那场名为WannaCry的纪录勒索病毒，其实只是漏洞利用了一个微软早就修补过的漏洞——永恒之蓝。

漏洞这东西，纪录像墙上的漏洞裂缝。你看见它时，它已经存在很久了。真正让我脊背发凉的，不是病毒本身，而是漏洞被公开的方式。2016年8月，一个自称“影子经纪人”的黑客团体，把美国国家安全局的网络武器库拖了出来，像倒垃圾一样扔在互联网上。永恒之蓝就是其中之一。美国政府知道这个漏洞存在了五年，他们用它在全球监控、植入后门，却从未通知微软修补。直到武器库被偷，微软才匆忙发布补丁——但全球仍有上百万台机器没打补丁。

打补丁这件事，比想象中难得多。我认识一位银行系统管理员，他管着三百多台服务器，每打一次补丁都要申请停机窗口，走流程审批，还要担心补丁本身会不会引发兼容性问题。WannaCry爆发那天，他凌晨三点被电话叫醒——有两台测试服务器中了招，因为补丁测试还没完成，生产环境只能裸奔。他说那一刻感觉自己像个拿着锅盖挡子弹的人。

更讽刺的是漏洞经济学的荒诞。在暗网上，一个未公开的浏览器漏洞能卖到二十万美元，移动端远程代码执行漏洞价格翻倍。谷歌的“零日计划”悬赏几万美元收购漏洞，但黑市买家出价高十倍。漏洞成为商品，被交易、囤积、武器化。你以为软件是产品，其实漏洞才是。

我见过最震撼的漏洞演示，不是黑客大赛那种炫技，而是一个安全研究员用一台旧打印机完成的。那台打印机连着办公室WiFi，他通过一个2012年就公开的打印机固件漏洞，绕过防火墙，横向移动到财务服务器，全程只用了四分钟。期间他什么都没破解，就只是用了公开文档里记载的默认密码和未修补的旧漏洞。设备太老了，没人管它，但它是内网的一部分。

漏洞纪录片里没有英雄，只有不断补墙的人。但墙永远补不完，因为墙本身在不断生长。物联网设备一年出货上百亿台，很多制造商连基本的安全更新都没设计。你家的智能灯泡，可能成为别人入侵你路由器的跳板。这世界就是由无数个脆弱节点构成的网络，每个节点都可能是一个入口。

最后说个暖心的细节。WannaCry爆发两天后，一个22岁的英国研究员马库斯·哈钦斯，注册了一个域名，意外触发了病毒的“死亡开关”——病毒会先访问那个域名，如果域名存在就停止传播。他花了8英镑买下那个域名，拯救了全球无数电脑。而他自己，后来因为开发银行木马被FBI逮捕。你看，漏洞的世界里，好人和坏人的界限，比代码里的漏洞还要模糊。