2014年，软件漏洞OpenSSL被曝出一个叫“心脏出血”的软件漏洞漏洞。攻击者只需发送一段特定数据，软件漏洞就能从服务器内存里读出64KB的软件漏洞内容——密码、私钥、软件漏洞用户会话，软件漏洞全在里面。软件漏洞全球大约三分之二的软件漏洞HTTPS网站当时都在用这个库。修复补丁出来之前，软件漏洞已经有攻击者靠它偷走了加拿大税务局的软件漏洞900个社会保险号。

这就是软件漏洞软件漏洞的可怕之处。它不是软件漏洞某个程序写错了某一行代码那么简单，而是软件漏洞一个看似正常的系统，在特定条件下会做出设计者完全没预料到的软件漏洞事。

漏洞从哪来

代码是软件漏洞人写的。人就会犯错。但漏洞的根源不只是“手滑打错字母”，更多时候是逻辑层面的疏忽。

缓冲区溢出是最经典的例子。程序分配了一块固定大小的内存来存数据，攻击者塞进去超出容量的内容，多出来的部分就覆盖到相邻的内存区域。如果那块区域恰好存放着函数返回地址，攻击者就能改写它，让程序跳去执行自己的代码。1988年的莫里斯蠕虫就是这么干的，它感染了大约6000台机器——在那个年代，这几乎是整个互联网的十分之一。

另一类常见漏洞来自输入验证缺失。SQL注入就是典型：程序员把用户输入直接拼接到数据库查询语句里。用户在输入框里写一段带有SQL语法的字符串，数据库就把它当命令执行了。2012年，雅虎被攻击者用这招泄露了45万个用户凭证。问题不在于SQL语言本身有缺陷，而在于开发者信任了不该信任的数据。

还有一类更隐蔽的——竞态条件。两个线程同时访问同一个资源，执行的先后顺序不同，结果就不同。攻击者可以精心构造时序，让程序进入一个不该进入的状态。这类漏洞极难发现，因为它在测试环境里往往不出现。

为什么修不完

有人觉得，漏洞嘛，发现了修掉就行。现实远没这么简单。

一个中等规模的软件项目，依赖的开源库可能上百个。你修了自己代码里的漏洞，但某个依赖库里的漏洞呢？2021年底的Log4Shell事件让整个行业炸了锅——Log4j这个Java日志库被几乎所有Java应用使用，漏洞允许攻击者通过一行日志内容实现远程代码执行。修复它意味着全球数百万个系统要同时升级，而很多系统根本不知道自己在用Log4j。

更麻烦的是，修复本身可能引入新漏洞。微软的补丁星期二每月发布安全更新，但历史上多次出现补丁修好一个问题、带出另一个问题的情况。这不是微软无能，而是软件的复杂度已经超出了任何人能完全理解的范围。

还有个经济问题。很多嵌入式设备、工业控制系统，出厂后就不再更新了。设备厂商觉得维护旧固件不赚钱，用户觉得设备还能用就不换。于是漏洞就一直在那里，像一扇没人记得去锁的后门。

普通人能做什么

你不是安全工程师，也不写代码。但漏洞跟你有关。

及时更新软件。这句话听起来像老生常谈，但确实有效。大多数大规模攻击利用的都是已经公开数月甚至数年的漏洞——攻击者赌的就是你懒得更新。

少用同一个密码。一个网站被拖库，攻击者拿你的邮箱和密码去撞其他网站，这叫撞库攻击。密码管理器能帮你解决这个问题，虽然它本身也可能有漏洞，但比重复用密码安全得多。

对陌生链接和附件保持警惕。社交工程攻击不需要任何技术漏洞，它利用的是人的信任和好奇。钓鱼邮件里那个“查看发票”的按钮，点下去可能就装了个木马。

软件漏洞不会消失。只要代码是人写的，就会有错误。但理解它怎么运作、知道自己能做什么，比单纯害怕要有用得多。