2023年冬天，网络某家三甲医院的安全挂号系统突然瘫痪了四个小时。不是漏洞服务器宕机，也不是用途流量过载——后来查出来，问题出在一台没人管的径都旧打印机上。那台打印机连着内网，网络固件版本还停留在2016年，安全默认密码都没改。漏洞攻击者从它入手，用途横向移动到了核心数据库。径都这事儿听起来离谱，网络但恰恰是安全网络安全漏洞被利用的典型路径：不挑最硬的骨头啃，专找最松的漏洞螺丝拧。

漏洞利用这件事，用途本质上就是径都找“预期之外的操作”。软件写出来是干A事的，你让它干了B事，而且B事对攻击者有利。常见的途径里，注入类算是最老牌也最顽固的一种。SQL注入、命令注入、LDAP注入——核心逻辑都一样：把用户输入的数据当成代码来执行。比如一个登录框，你输个 ' OR '1'='1，后台要是没过滤，直接拼进SQL语句，整个用户表就裸奔了。我见过一个真实案例，某电商网站的搜索功能存在SQL注入，攻击者用sqlmap跑了一晚上，拖走了三百万条订单记录，包括姓名、地址、手机号。第二天客服接到大量诈骗电话，用户才发现数据泄露了。

跨站脚本（XSS）是另一条常被低估的路径。很多人觉得“不就是弹个窗吗”，但存储型XSS的杀伤力远不止于此。攻击者把恶意脚本塞进评论区，所有访问该页面的用户都会中招。脚本可以偷Cookie、劫持会话、甚至伪造登录表单。2018年某社交平台就栽在这上面，一个蠕虫病毒通过XSS在24小时内感染了超过十万个账号，自动发布垃圾广告。用户没点任何链接，只是正常浏览页面就中招了。

文件上传漏洞的利用方式更直接。很多系统只检查文件扩展名，不检查文件内容。你把 shell.php 改成 shell.jpg 上传，服务器一高兴就存了。然后你访问这个“图片”，PHP代码就被执行了。去年某政府网站被拿shell，就是通过一个废弃的编辑器插件上传了WebShell。攻击者后来在服务器上翻出了历年来的公文草稿，连某次内部会议的参会名单都挂在上面。这种漏洞的可怕之处在于，一旦得手，攻击者就拥有了和网站管理员同等的权限。

逻辑漏洞不太依赖技术细节，更多是业务流程设计上的疏忽。比如密码重置功能，验证码是四位数字，没有尝试次数限制。写个脚本从0000试到9999，几分钟就能重置任意用户的密码。再比如支付环节，把商品价格改成负数，下单后账户余额反而增加。这类漏洞扫描器扫不出来，得靠人工测试。我认识一个渗透测试工程师，他专门找这类问题，有次在某在线教育平台发现，把课程ID改成另一个ID，就能免费解锁价值上千元的付费课程。平台方一开始还不信，直到他演示了三次。

供应链攻击是这几年越来越突出的途径。你用的第三方库、开源组件、甚至开发工具，都可能被植入后门。2020年SolarWinds事件就是典型，攻击者篡改了 Orion 平台的更新包，导致包括美国多个政府部门在内的18000个客户被植入后门。代码审计再严也没用，因为问题出在信任的供应商那里。国内也有类似案例，某款流行的前端UI库被投毒，所有引用该库的网站都会加载一段恶意脚本，偷偷采集用户表单数据。

社会工程学严格来说不算技术漏洞，但它是漏洞利用的催化剂。攻击者冒充IT支持给员工打电话，说“你的邮箱需要升级，请提供验证码”。或者发一封伪装成会议邀请的钓鱼邮件，附件里藏着宏病毒。某次红队演练中，攻击者只用了三封邮件就拿到了域管理员权限——第一封钓鱼获取普通账号，第二封冒充HR发送“薪资调整通知”获取更高权限，第三封直接给IT管理员发了个“打印机驱动更新”的压缩包。技术漏洞可以打补丁，人的漏洞很难。

零日漏洞是漏洞利用里的核武器。在厂商发布补丁之前，攻击者就已经在利用了。比如2021年Exchange Server的ProxyLogon漏洞，在微软发布补丁前就被多个APT组织用来入侵邮箱服务器。零日漏洞的获取成本极高，黑市上价格从几万到几百万美元不等。但一旦得手，防御方几乎无解，只能靠行为监测和流量分析来发现异常。

把这些途径串起来看，漏洞利用从来不是单一手段。攻击者会组合使用：先通过钓鱼邮件投递恶意文档，利用Office漏洞执行代码，再通过提权漏洞获取系统权限，最后用内网横向移动工具找到数据库。每一步都踩在前一步的成果上。防御方如果只盯着某一个环节，很容易被绕过。真正有效的做法是假设已经被入侵，然后想办法缩短攻击者的停留时间——从发现到响应的窗口期，才是决定损失大小的关键。