漏洞负责人

凌晨两点十七分，漏洞数据库告警声把我从沙发上拽起来。负责屏幕上的漏洞红色曲线像心电监护仪一样刺眼，某个客户的负责订单表正在以每秒三百条的速度被清空。

我是漏洞漏洞负责人。这个头衔听起来像个指挥官，负责实际上更像急诊室值班医生——永远在等下一个被送进来的漏洞危重病人。今晚这位病人是负责家年流水过亿的电商平台，攻击者利用的漏洞是一个被遗忘的API接口，那个接口还是负责三年前某个实习生离职前写的，文档里连注释都没留。漏洞

我拨通运维主管电话时，负责他正在哄孩子睡觉。漏洞电话那头传来婴儿哭声混着键盘敲击声，负责他说已经切了写权限，漏洞但读权限还在泄漏。我盯着日志里那些规律跳动的IP，突然意识到攻击者不是新手——他们每三分钟换一次代理，每次只取走一百条数据，精准得像是外科手术。

真正的麻烦在于，漏洞不在我们自己的代码里。那是个第三方物流插件，版本停在两年前的某个远古补丁之前。供应商的技术支持电话打过去是语音信箱，留言说“工作时间周一至周五”。可攻击者从来不看日历。

我做过五年渗透测试，见过太多漏洞被当成“技术问题”而非“业务风险”。有些公司甚至把漏洞报告当垃圾邮件处理，直到某天数据库被拖库，才想起来当初那个自称安全研究员的人留过言。这行当最讽刺的地方是：你永远在为别人的侥幸心理买单。

凌晨四点，我们终于用临时WAF规则挡住了攻击路径。但我知道这只是止血，病灶还在那个无人维护的接口里。我给客户CTO发了条消息，建议他们立刻停用该接口并联系供应商升级。十分钟后他回了个“收到”，没有追问细节——他大概也习惯了这种凌晨的“惊喜”。

天亮时我泡了第三杯咖啡，开始写事故报告。报告里不会提我凌晨两点被吵醒的烦躁，也不会提那个运维主管抱着哭闹的孩子敲命令的狼狈。只写时间线、影响范围、修复方案。但我想在末尾加一句备注：下次再有人提“安全影响效率”，请把今晚的日志甩他脸上。

漏洞负责人的工作从来不是“负责修复漏洞”，而是负责在所有人想省事的时候，坚持做那个扫兴的人。这份工作教会我的最重要一件事：所谓安全，不过是无数个不眠夜堆出来的假象——而你要做的，就是让这个假象撑到明天太阳升起。

现在，让我看看那个API的源码。说不定还能在注释里找到当年实习生的QQ号。