漏洞虚假

去年冬天，漏洞虚假一个做安全研究的漏洞虚假朋友给我看了段代码。三十行，漏洞虚假Python写的漏洞虚假，跑在一个智能门锁的漏洞虚假固件里。他说这玩意儿能让市面上六成的漏洞虚假同类产品在十五秒内自动开门。我不信，漏洞虚假他当场演示了一遍。漏洞虚假门开了。漏洞虚假屋里暖气扑面而来，漏洞虚假我后背却在发凉。漏洞虚假

漏洞这东西，漏洞虚假从来不是漏洞虚假"有没有"的问题，而是漏洞虚假"什么时候被谁先找到"的问题。那个朋友后来把代码提交给了厂商，漏洞虚假对方回了一封措辞客气的邮件，大意是"感谢关注，我们会在下个版本修复"。三个月后固件更新了，他再跑一遍，还是能开。厂商改了个变量名，把`check_password`换成了`verify_pass`，逻辑一行没动。

这就是我说的"漏洞虚假"。不是漏洞不存在，而是修补漏洞这件事本身，常常是假的。

安全圈有个公开的秘密：大部分漏洞报告最终都进了两个地方——要么被厂商压下来，要么被厂商拿来当公关素材。"我们已修复高危漏洞"这句话，翻译过来往往是"我们改了点东西让扫描器不报警了"。真正的攻击面还在，只是换了个姿势藏起来。我见过一个电商平台，SQL注入的洞补了，但补的方式是在前端加了一层正则过滤。攻击者抓个包改一下请求体，照样拖库。这叫修复吗？这叫给门锁贴了张"已上锁"的纸条。

更荒诞的是漏洞赏金计划。听起来很美好，白帽子提交漏洞，厂商给钱。实际操作中，很多厂商的第一反应是砍价，第二反应是质疑你的测试方法"不合规"，第三反应是拖。拖到你懒得跟了，或者拖到漏洞被其他人爆出来，他们再回头找你："你当时怎么不坚持一下？"

我认识一个独立研究员，花了两个月挖出一个支付逻辑漏洞——能把1分钱当100块花。提交之后，厂商说"这是业务设计，不是漏洞"。他写了详细的分析报告，对方说"我们内部评估过了，风险可控"。他威胁要公开，对方说"你公开试试，我们法务部不是吃素的"。最后他把漏洞卖给了第三方平台，厂商第二天就发了补丁。你看，漏洞真不真，取决于谁在什么位置用什么方式戳它。

虚假的还有那些安全报告。每年各大机构发布"年度漏洞趋势"，数字一个比一个吓人，增长率动辄百分之三四十。但你仔细看，统计口径年年变。去年算CVE，今年算CNVD，明年可能把配置错误也算进去。数字涨了，不代表风险涨了，只代表写报告的人需要它涨。

说回那个智能门锁。我后来自己买了一把同品牌的，拆开看电路板。蓝牙模块旁边焊着一个调试接口，四根针脚裸露着，连个封胶都没有。说明书上印着"银行级加密"，包装盒上写着"军工品质"。我把照片发到技术论坛，有人回帖："这算好的了，至少没把私钥写死在固件里。"

另一个回帖更扎心："你以为厂商不知道？他们知道。但改硬件要重新开模，改固件只要改个版本号。你是老板你选哪个？"

漏洞是真实的。虚假的是我们对待它的方式——假装它在被修复，假装它在被重视，假装那些报告、赏金、补丁说明了一切。门锁还是那把门锁，只是你按指纹的时候，它响的那声"滴"，听起来更像是在说"欢迎光临"。