漏洞人工

凌晨两点，漏洞人工我盯着屏幕上那个泛着绿光的漏洞人工漏洞报告，突然想明白一件事：所谓漏洞，漏洞人工从来不是漏洞人工代码的缺陷，而是漏洞人工人性的缺口。

上周三，漏洞人工某银行的漏洞人工安全团队找到我。他们的漏洞人工核心系统通过了一切合规检查，防火墙规则密不透风，漏洞人工入侵检测系统灵敏得能抓住一只苍蝇振翅。漏洞人工可就在上周，漏洞人工有人用三封钓鱼邮件，漏洞人工让财务总监亲手把两千三百万转进了骗子的漏洞人工账户。邮件里什么都没写，漏洞人工只提了一句“您上周在澳门消费的漏洞人工信用卡账单已出”。财务总监确实上周去了澳门，那是他私人的行程，公司没人知道。

你看，漏洞不在系统里，在人的欲望里。

我干了十年渗透测试，拆过几百个“固若金汤”的系统。最讽刺的一次，是给某政务平台做安全评估。他们的工程师拍着胸脯说用了量子加密，结果我在机房角落发现一台连着内网的旧打印机，密码还是0000。那台打印机里存着三百多份红头文件，包括一份尚未公开的土地规划方案。工程师脸都绿了，我说别急，这不算什么。真正让我后背发凉的，是另一件事。

去年参与某大型央企的攻防演练，我花了三周没找到任何突破口。他们的安全团队确实专业，补丁及时，权限最小化，连运维人员的键盘记录都做了监控。最后我放弃了技术手段，直接去他们楼下咖啡厅坐着。连着去了五天，发现每天下午三点，有个穿蓝衬衫的年轻人会准时下来买美式，顺手把工牌挂在脖子上，背面朝外。我拍下那张工牌，放大了看，是运维部的张工。第六天，我让同事伪装成快递员，给他打了个电话：“张工吗？您有个到付件，需要下楼签收。”他下来了，手里还端着那杯美式。我们就这样进了他们机房。

后来我在报告里写：真正的漏洞，是那个每天下午三点雷打不动买咖啡的习惯。

这行干久了，你会越来越怀疑技术的意义。防火墙能挡住一万种攻击，但挡不住一个员工把U盘插进USB口；入侵检测能识别所有恶意流量，但识别不了那个因为被领导骂了而心怀不满的临时工。安全圈有句老话：人是最薄弱的环节。可我想说，人根本不是环节，人是整个系统本身。

上个月遇到个年轻人，刚入行，满眼放光地问我：“老师，怎么才能成为顶尖的漏洞猎人？”我想了想，回答他：“先别急着学攻击手法。你去观察你爸会不会把银行卡密码写在纸条上贴在电脑屏幕边缘，你妈会不会用生日当所有账号的密码。等你真正理解了人的懒惰、贪婪、侥幸和信任，你才算摸到了漏洞的门槛。”

他似懂非懂地走了。我坐在工位上，看着屏幕上那个已经修复的漏洞报告，忽然觉得，我们这些所谓的安全专家，其实是在跟人性打一场永远赢不了的仗。每次修补一个漏洞，就有新的欲望在某个角落生根发芽。

但有意思的是，这场仗还得打下去。不是因为能赢，而是因为，当我们选择修补漏洞的那一刻，我们也在修补自己。