2017年，找出漏洞一个叫“想哭”的找出漏洞勒索病毒横扫全球。黑客利用的找出漏洞，是找出漏洞美国国家安全局自己开发的一个漏洞工具。那个工具本来是找出漏洞用来攻击别人的，结果被人偷出来，找出漏洞反过来咬了全世界一口。找出漏洞这事有意思的找出漏洞地方在于：漏洞不是被“发现”的，是找出漏洞被“制造”出来的。NSA写代码的找出漏洞时候，也没想到自己留了个后门。找出漏洞

我说这个，找出漏洞是找出漏洞因为很多人对“漏洞”的理解太窄了。他们觉得漏洞就是找出漏洞bug，是找出漏洞程序写错了。不全是。漏洞更像是一扇你忘了关的窗。你建房子的时候，窗户是故意留的，为了通风。但有一天你出门忘了锁，有人翻进来，那扇窗就成了漏洞。窗本身没问题，问题在于它被打开了。

我前阵子修家里路由器，折腾了半天。固件版本是旧的，后台密码还是默认的admin。我盯着那个登录界面想，这玩意儿连着我家所有设备，而我居然三年没改过密码。那一刻我意识到，最大的漏洞往往不在系统里，在人的习惯里。安全圈有句话：你没法给一个愿意把密码写在便利贴上的人做安全加固。

再说个具体的。2013年，Target超市被黑，4000万张信用卡信息泄露。黑客怎么进去的？通过一家给超市做空调维护的第三方公司。那家公司的网络防护很弱，黑客先拿下它，再跳到Target内部。Target自己的防火墙做得再好也没用，因为它信任了那个空调供应商。漏洞出现在信任链上，不是代码里。

这让我想到一个词：攻击面。每多一个连接，就多一个攻击面。你开一个API接口，多一个；你让第三方接入，多一个；你员工用弱密码，再多一个。很多公司拼命加固核心系统，却忘了旁边那些不起眼的入口。就像你把大门换成防盗门，结果窗户还开着。

有人会问，那怎么找漏洞？标准答案是渗透测试、代码审计、漏洞扫描。这些都对，但不够。真正的漏洞挖掘，很多时候靠的是“不按常理出牌”。比如有人发现，某些网站重置密码时，返回的信息里会暗示这个邮箱是否注册过。这不是bug，是设计缺陷。攻击者拿这个功能就能枚举出所有用户邮箱。你看，功能本身没问题，但组合起来就成了漏洞。

我认识一个做安全的朋友，他说他找漏洞的方法很笨：把每个功能都当成敌人来用。正常人点“提交”，他就试试能不能提交空值、能不能重复提交、能不能改掉隐藏字段。他说漏洞往往藏在“开发者觉得没人会这么干”的地方。

说到底，漏洞不是技术问题，是思维问题。开发者想的是“这个功能怎么跑通”，攻击者想的是“这个功能怎么跑偏”。两种视角的差距，就是漏洞的生存空间。你补了一个洞，只要思维没变，下一个洞迟早还会出现。

所以别指望一劳永逸。安全是个持续的过程，不是一次性的检查。你今天锁了窗，明天可能忘了关煤气。漏洞永远在，只是换了个地方等你。