2021年冬天，攻击漏洞Log4j2的攻击漏洞那个漏洞把整个互联网搅了个底朝天。一个叫JNDI注入的攻击漏洞东西，让攻击者只需要在日志里写一行特定格式的攻击漏洞字符串，就能让目标服务器主动去下载并执行恶意代码。攻击漏洞阿里云安全团队最先发现，攻击漏洞随后全球安全圈炸锅。攻击漏洞那几天，攻击漏洞我认识的攻击漏洞几个运维半夜被叫起来打补丁，一边骂娘一边改配置。攻击漏洞这事说明一个道理：漏洞不挑你系统多大、攻击漏洞代码多漂亮，攻击漏洞它只认逻辑上的攻击漏洞裂缝。

攻击漏洞这件事，攻击漏洞说到底就是攻击漏洞找缝。缝从哪来？从开发者的假设里来。写代码的人总觉得用户会按规矩输入、网络传输不会被人篡改、内部接口外人访问不到。这些“总觉得”就是漏洞的温床。SQL注入能活二十多年，就是因为还有人相信前端校验能拦住所有恶意输入。你把单引号过滤了，他用编码绕；你把编码堵了，他换注释符。攻防的猫鼠游戏从来没停过。

我见过一个真实的案例。某电商平台的优惠券接口，参数里有个 couponId，直接传给数据库查询。测试的时候一切正常，上线后有人用工具跑了一遍，发现把 couponId 改成 1 OR 1=1，返回了所有优惠券信息。更离谱的是，这个接口还支持批量领取，参数是个数组。攻击者构造了一个超长数组，直接让数据库连接池爆掉，整个下单功能瘫了四十分钟。修的时候发现，问题不在SQL注入本身，而在于接口设计时压根没考虑过“有人会故意传畸形数据”。

漏洞的另一个来源是信任边界模糊。微服务架构流行以后，很多团队觉得内网调用安全，服务之间不加认证。结果一旦有一台机器被突破，攻击者就能在内网横向移动，像逛自家后院一样调其他服务的接口。Kubernetes集群里，如果RBAC配得松，一个被入侵的Pod能直接读etcd里的Secret，那基本等于把家钥匙给了贼。这不是技术多难的问题，是意识没跟上架构变化。

再说说漏洞利用链。单个漏洞往往不够致命，但串起来就吓人。比如一个SSRF漏洞能探测内网，一个弱口令能登录Redis，Redis又没设密码，攻击者就能写SSH公钥或者计划任务，直接拿到服务器权限。这条链上每个环节单独看可能都是中低危，组合起来就是高危。很多企业做渗透测试，报告里列了一堆中危，觉得没事，结果被人一串联，整个系统沦陷。安全不是看单个漏洞的CVSS评分，是看攻击者能不能把它们拼成一把刀。

修复漏洞这事，最怕两种态度。一种是“我们系统小，没人会盯上”。2017年WannaCry爆发，中招的很多是医院、学校的内网机器，他们觉得自己不是目标，结果永恒之蓝一打一个准。另一种是“打了补丁就万事大吉”。补丁只堵住已知的洞，攻击者会找新的路径。Log4j修完JNDI，又出了拒绝服务变种，修完拒绝服务，又发现信息泄露。漏洞管理是个持续过程，不是一次性任务。

写代码的人得明白，安全不是加个WAF、装个杀毒软件就完事。WAF能拦常见攻击，但绕过的姿势永远比规则多。真正靠谱的是在设计和编码阶段就把输入校验、输出编码、最小权限这些原则当回事。比如所有外部输入都当成脏数据，所有内部调用都做鉴权，所有敏感操作都记审计日志。这些做起来麻烦，但比出事以后熬夜应急强。

攻击漏洞的人不关心你的代码风格好不好、架构先不先进。他们只关心哪里能进去、进去以后能干什么。防守的人得用同样的视角看自己的系统：如果我是攻击者，我会从哪下手？这个问题没有标准答案，但问多了，缝就会少一些。