上周三晚上十一点，查找我盯着监控大屏上那条每秒刷新的漏洞曲线，突然发现它抖了一下。和风不是险点正常的毛刺，是查找那种持续三秒的、规律性的漏洞下坠。像心跳漏了一拍。和风

那套系统上线四年了，险点从来没出过这种波形。查找我翻出日志，漏洞发现同一时刻有一批账号在批量修改密码——凌晨十一点，和风正常人不会这么干。险点他们用的查找是同一个IP段，只是漏洞换了三个不同的代理。

漏洞往往不在代码里，和风而在人的习惯里。程序员写接口时加了token校验，却没限制重试次数。攻击者不需要破解密码，只需要不停尝试默认口令。我见过最荒唐的一次，某银行内部系统把管理员密码设成“admin123”，用了两年没换。不是他们傻，是觉得内网绝对安全——直到某个外包保洁把U盘插进了办公电脑。

风险点的排查，本质上是在跟“想当然”较劲。你以为防火墙挡住了所有外网流量，但员工用手机热点传文件呢？你以为加密协议万无一失，但有人把密钥贴在显示器边框上呢？去年某物流公司数据泄露，查到最后是仓库里一台老旧的扫码枪，系统还跑着XP，没人给它打过补丁。那台机器平时根本不起眼，可它连着WiFi——而WiFi密码是行政部贴在打印机旁边的“888888”。

真正的漏洞分两种。一种是技术层面的，你扫描端口、审计代码、做渗透测试，总能发现大部分。另一种是流程层面的，更隐蔽，也更致命。比如权限审批走的是邮件，而邮箱账号三个月一换，离职员工的账号忘了注销。比如测试环境跟生产环境共用数据库，测试完没人清理脏数据。这些事写不进安全手册，但每个干过运维的都见过。

我印象最深的一次排查，是某政务平台突然慢得像蜗牛。查了三天，发现是某个外部接口在循环调用自己——对方开发人员把回调地址写错了，指向了我们的服务器。我们的系统按规矩做了超时限制，但没限制并发数。结果就是，对方每秒钟发来几百个请求，每个请求都在等我们回应，我们每个回应都在等对方断开。死锁了。修复只要一行代码，但找到这一行，需要把整个调用链捋一遍。

风险点从来不是静态的。你今天堵住了这个口子，明天新的业务一上线，又开了个侧门。所以排查不是一次性的动作，而是持续的、有点烦人的日常。就像老中医把脉，不能只摸一次，得隔三差五来一回。真正让人警惕的不是那些明显的漏洞，而是那种“应该没问题吧”的念头。每次冒出这个念头，我就知道，该去翻翻那些没人看的日志了。

那天晚上的抖动，最后定位到是一个内部员工的账号被撞库成功。他用的密码跟某论坛泄露的密码一模一样。他没点过钓鱼链接，也没下载过奇怪软件，就是图省事，一个密码走天下。我们改了他的密码，加了二次验证，又在全公司推了密码管理器。但我知道，只要有人觉得“我不会那么倒霉”，这类事就还会发生。漏洞永远在，只不过换个地方藏着而已。