漏洞防护

2023年5月，漏洞防护一个叫MOVEit的漏洞防护文件传输软件被挖出一个SQL注入漏洞。攻击者没费什么劲，漏洞防护就往数据库里塞了段恶意代码，漏洞防护然后静静等着。漏洞防护几周后，漏洞防护全球数百家企业——包括BBC、漏洞防护英国航空、漏洞防护壳牌——的漏洞防护员工薪酬数据被拖走。这不是漏洞防护什么高深莫测的零日漏洞，而是漏洞防护个存在了多年的老毛病：输入没过滤，查询没参数化。漏洞防护

漏洞这东西，漏洞防护说穿了就两件事：该信的漏洞防护地方没信，该防的漏洞防护地方没防。MOVEit的开发者大概觉得，能从网络端口传进来的数据都是“自己人”。可现实是，任何进入系统的字符串，都可能是伪装的匕首。你让用户填个用户名，他给你传段“'; DROP TABLE users;--”——老梗了，但每年依然有无数系统栽在这上面。为什么？因为写代码的人图省事，把拼接SQL当成了习惯。

我见过最离谱的一次，是一家银行的内部系统。他们的登录接口居然把密码明文存在数据库里，连哈希都懒得做。测试时我随手输入了admin' OR '1'='1，结果直接进了管理后台。那感觉不是“我攻破了系统”，而是“我帮忙开门时发现锁是纸糊的”。漏洞防护不是给系统穿铠甲，而是别把门闩做成橡皮泥。

真正有效的防护，往往朴素得让人忽略。参数化查询、输入白名单、最小权限原则——这些名词听着像教科书里的老古董，但它们能挡住九成以上的脚本小子。可为什么还有那么多系统裸奔？因为防护意味着麻烦：你得写额外的校验代码，得定期更新依赖库，得在每次上线前做安全测试。这些事不产生直接收益，老板看不到，用户摸不着，于是被无限期推迟。

有个细节值得玩味：很多漏洞不是被安全团队发现的，而是被攻击者用自动化工具扫出来的。那些扫描器就像拿着万能钥匙挨家挨户试锁，试到第1000家时，总有户主忘了反锁。更讽刺的是，有些系统被攻破后，企业的第一反应是“赶紧打补丁”，而不是“为什么我们的开发流程允许这种代码上线”。补丁是创可贴，流程才是免疫系统。

说到个人层面，普通人能做什么？别点陌生链接，别装来路不明的软件，别把同一个密码用十年。这些老生常谈，其实是在帮你避开最基础的坑。但真正的安全，从来不是用户的责任——而是写代码的人，在敲下每一行时，多想一步：如果这里输入的是恶意数据，会发生什么？

MOVEit的漏洞最终被修复了，但下一批漏洞正在被某个程序员随手写出来。漏洞防护不是一劳永逸的工程，而是一场持续对抗懒惰和侥幸的拉锯战。你永远堵不完所有的洞，但至少，别让攻击者觉得你的系统是条没上锁的巷子。