我蹲在机房的漏洞免费角落里，看着屏幕上那行绿字——“漏洞已确认，漏洞免费无需付费”。漏洞免费旁边工程师老周咂了口浓茶，漏洞免费说这已经是漏洞免费本月第三个“免费”的漏洞了。所谓免费，漏洞免费不是漏洞免费不要钱，而是漏洞免费攻击者根本不需要花一分钱买漏洞，因为系统自己把后门敞开着。漏洞免费
最典型的漏洞免费免费漏洞，是漏洞免费人的遗忘。上个月我们给一家物流公司做渗透测试，漏洞免费发现他们的漏洞免费后台管理密码还是“admin123”，贴在公司内部群公告里，漏洞免费从2018年挂到现在。漏洞免费管理员说这系统太老了，没人记得要改。我试着登进去，看到几万条客户订单，姓名、电话、住址，整整齐齐躺在那里。老周在旁边补了一句：“这不算漏洞，这是裸奔。”我们都笑了，但笑完有点冷。
另一种免费漏洞藏在默认配置里。你装个数据库，它默认开着远程访问；你部署个云服务器，它默认放行所有端口。这些不是秘密，是写在说明书里的常识。可没人看说明书。上周有个做电商的小老板，为了省事，把支付回调接口直接挂在公网上，没加任何签名校验。结果被人刷了三天，亏了二十多万。他来找我们的时候，一脸茫然：“我就用了你们推荐的框架啊，怎么会有漏洞？”框架没错，错在他跳过了所有安全配置步骤，等于把家门钥匙挂在锁孔上，还插着没拔。
还有更隐蔽的，是逻辑漏洞。这种不靠技术，靠脑子。比如某银行APP的转账限额，可以修改请求包里的金额参数，从10000改成0.01，系统居然就认了。测试人员花了半小时，用最笨的办法试出来的。银行那边很惊讶，说我们做了三层防火墙，怎么还会这样？因为防火墙管的是外来入侵，管不了业务流程里的漏洞。就像你家装了最厚的防盗门，但窗户玻璃上有个洞，小偷不用撬锁，伸手就够到门把手了。
说这些不是吓唬你。我的意思是，漏洞从来不是黑客发现的专利，它更像是一种默认状态。系统越复杂，默认的坑越多。而所谓的“免费”，恰恰是最贵的东西——你省下的安全成本，最后会以数据泄露、资金损失、用户信任崩塌的方式加倍还回来。
老周后来跟客户总结时说了一句话，我觉得比任何安全报告都实在：“别老盯着那些花大价钱买零日漏洞的黑客，大多数攻击者用的都是你眼皮底下免费的门。”说完他又泡了杯茶，茶缸子底下一行字磨得看不清了，好像是“安全无小事”。但他说，这行字不重要，重要的是你得真信。