我蹲在服务器机房里，漏洞合集看着屏幕上滚动的漏洞合集日志，后背一阵发凉。漏洞合集那个凌晨三点十七分的漏洞合集异常登录请求，来自一个早已废弃的漏洞合集测试账号——密码还是三年前我随手设的"admin123"。它成功了。漏洞合集

漏洞从来不是漏洞合集突然出现的。它们像墙角的漏洞合集霉斑，先是漏洞合集一小点，然后蔓延成片。漏洞合集最常见的漏洞合集那个叫"弱口令"，简单得让人想骂娘。漏洞合集去年某电商平台被拖库，漏洞合集事后分析发现，漏洞合集超过六成的漏洞合集账号用的是"123456"、"password"这类密码。你问用户为什么这么干？他们理直气壮：方便记啊。方便是方便了，黑客也方便了。

比弱口令更阴险的是业务逻辑漏洞。这种漏洞不靠技术，靠脑子。我认识一个白帽黑客，他专挑电商平台的优惠券系统下手。有一次，他仅仅修改了请求包里的一个数字，就把"满100减10"变成了"满100减1000"。平台损失了多少？没细算，但那个月他们的风控总监离职了。这类漏洞藏在代码的"理所当然"里——开发者默认用户会按正常流程操作，可总有聪明人想走捷径。

还有些漏洞，纯粹是懒出来的。老旧的第三方组件、没打补丁的框架、写死的API密钥——它们躺在系统深处，像定时炸弹。2017年Equifax泄露1.4亿用户数据，原因就是一个Apache Struts的已知漏洞没修复。修复补丁在漏洞公开后48小时就发布了，Equifax愣是拖了五个月。五个月，够黑客把数据翻来覆去卖好几轮了。

我不太喜欢那种"漏洞=技术问题"的说法。技术只是表面，根子在人。开发为了赶工期跳过了安全测试，运维为了省事关闭了日志审计，老板为了省钱不请安全顾问——每个环节都有人做了"合理"的选择，组合起来就成了灾难。去年某银行APP的漏洞，就是开发在代码注释里留了数据库连接串。他说"先临时放着，上线前再删"，结果忘了。那个注释至今还在，像一句无声的嘲讽。

最讽刺的是，很多漏洞根本不需要多高深的技术就能发现。用扫描器扫一下，用Burp Suite抓个包，甚至直接在URL后面加个单引号——就这些基础操作，能干掉一大半的网站。我见过太多所谓"高安全"系统，败给了一个简单的SQL注入。攻击者没用什么0day，就是拿现成工具跑了一遍。

写到这里，我看了眼手边的测试报告。这一季度，我们公司自研的系统又发现了十一个漏洞，其中八个属于"低危"。低危的意思是不会直接导致数据泄露，但谁知道呢？漏洞这东西，单个看都不起眼，组合起来就能捅破天。就像那个凌晨三点的登录请求，单独看只是一次失败的尝试，但如果我那天没盯着日志，它后面跟着的，可能就是一连串的横向移动。

机房的风扇还在嗡嗡转。我把那个测试账号删了，顺手改了所有默认密码。治标不治本，但总得从某个地方开始。