什么漏洞

2017年5月12日，什漏洞WannaCry勒索病毒横扫全球。什漏洞英国国家医疗服务体系瘫痪，什漏洞手术取消，什漏洞救护车改道。什漏洞西班牙电信、什漏洞联邦快递、什漏洞雷诺工厂，什漏洞一个接一个倒下。什漏洞二十多万台电脑，什漏洞一百五十个国家。什漏洞事后复盘，什漏洞罪魁祸首不是什漏洞什么精妙绝伦的攻击手法，而是什漏洞Windows系统里一个已经被微软修补了两个月的漏洞——MS17-010，永恒之蓝。什漏洞

漏洞这东西，名字听着吓人，说白了就是代码里的一扇没关好的窗。程序员写代码的时候，脑子想的是正常流程怎么走，数据怎么处理，用户怎么操作。但代码量一大，分支一多，总有些边角没照顾到。输入框里填个正常名字没问题，填一段精心构造的二进制数据呢？系统直接懵了，把数据当指令执行。这就是缓冲区溢出，最古老也最致命的漏洞类型之一。

我见过一个真实案例。某企业内网的后台登录页面，用户名输入框没做长度限制。开发觉得无所谓，反正前端已经校验了。但攻击者绕过前端，直接发请求，塞进去两千个字符。后端数据库查询直接崩了，报错信息里带着完整的SQL语句。再试几次，注入点找到了，管理员密码被拖出来，整个系统沦陷。从头到尾，攻击者只用了浏览器和一个抓包工具。

漏洞分很多种。注入类，把恶意数据伪装成指令；越权类，普通用户干了管理员的事；信息泄露类，本该藏好的数据被翻了出来。每一类背后，都是开发时的一个疏忽。有人觉得用了框架就安全了，框架本身也有漏洞。有人觉得内网就安全了，内网横向移动是渗透测试的基本功。安全这行干久了，会养成一种职业病：看什么都像漏洞。登录页面看有没有爆破防护，文件上传看有没有类型校验，接口调用看有没有权限验证。

更麻烦的是逻辑漏洞。代码没写错，功能也正常，但业务流程能被绕过。比如某电商平台的退款流程，正常是申请、审核、打款。攻击者发现，申请之后审核之前，如果取消订单，退款金额会重复计算。下十单，取消十单，账户里多出十倍的钱。这种漏洞扫描器扫不出来，只能靠人脑去推演。写代码的人觉得流程天经地义，用代码的人偏不按套路出牌。

修补漏洞的速度，永远赶不上新漏洞出现的速度。一个系统上线，代码几十万行，依赖库上百个，每个依赖库又有自己的依赖。供应链攻击就是这么来的。你用的开源组件，某天被爆出后门，你的系统跟着遭殃。Log4j那个漏洞，影响面之大，连安全圈的人都傻眼。一个日志库，几乎每个Java应用都在用，漏洞利用代码公开后，全球安全工程师连夜加班。

普通人能做什么？别用同一个密码，别点陌生链接，系统更新别老点“稍后提醒”。这些建议听着老套，但管用。企业呢？别等出事再补，代码审计、渗透测试、漏洞扫描，该做的做。安全不是产品，是过程。今天没漏洞，不代表明天没有。写代码的人多留个心眼，用代码的人多问一句为什么，很多事就不会发生。

WannaCry之后，微软发了补丁，但很多机器没打。不是不知道，是懒得打，或者不敢打——怕影响业务。结果呢？病毒一来，业务停得更彻底。漏洞不可怕，可怕的是知道有漏洞却不动。那扇窗开着，风迟早会灌进来。