网络技术漏洞

2017年5月12日，网络一个叫WannaCry的技术勒索病毒席卷全球。它锁死你的漏洞文件，屏幕上跳出血红色的网络弹窗，要你支付300美元比特币。技术英国国家医疗服务体系瘫痪，漏洞手术被迫取消；德国铁路系统停摆；中国多所高校的网络毕业论文化为乱码。这场灾难的技术起因不是某个天才黑客的精密设计，而是漏洞一群朝鲜黑客利用了美国国家安全局自己开发后又被泄露的漏洞——永恒之蓝。

漏洞从来不是网络抽象的代码缺陷，它是技术真实世界里的锁孔。有些是漏洞制造商故意留下的后门，有些是网络程序员的无心之失，还有些是技术系统老化后自然出现的裂缝。但最讽刺的漏洞是，最危险的漏洞往往不是技术问题，而是人的问题。2019年，波音737 MAX坠机事件调查显示，MCAS系统的一个传感器故障会导致飞机自动俯冲，而飞行员根本不知道这个系统的存在。软件工程师知道，监管机构知道，唯独坐在驾驶舱里负责操控飞机的人不知道。

我见过一家初创公司的技术总监，他把所有服务器的密码写在便利贴上，贴在显示器边框。问他为什么，他说“方便”。这个“方便”持续了两年，直到某天一个保洁阿姨拍下照片发到朋友圈炫耀自己“在大公司工作”。那晚，他们公司的数据库被拖走，客户信息在黑市上以每条五毛钱的价格贱卖。技术漏洞往往披着“人性懒惰”的外衣。

更隐蔽的漏洞藏在代码的逻辑缝隙里。2021年，安全研究员发现一个叫Log4Shell的漏洞——Apache Log4j日志库中的一个字符串解析功能，能让攻击者远程执行任意代码。这个库被嵌入到全球数亿个应用程序中，从游戏《我的世界》到苹果iCloud无一幸免。修复它的补丁发布后，仍有大量企业数月未更新。不是他们不想，而是根本不知道自己用了这个库。现代软件开发像搭积木，你用的是别人造的积木，积木里藏了什么，你一无所知。

漏洞的可怕之处在于它的不对称性。攻击者只需要找到一个弱点，防御者却要守住所有入口。一个在暗网上售价几百美元的零日漏洞，可能让一家市值百亿的公司一夜之间数据清零。2013年，黑客通过攻击零售商Target的空调供应商，拿到供应商的凭证，然后顺着网络爬进Target的支付系统，偷走4000万张信用卡数据。他们没直接攻击Target，而是攻击了那个给Target装空调的第三方公司。供应链漏洞，就像你花重金装了防盗门，却忘了窗户没关。

现在的漏洞已经不只是技术问题，它变成了地缘政治的筹码。美国NSA囤积漏洞，不是为了修补，而是为了武器化——他们需要保持攻击能力，所以故意不公开漏洞信息。这就像家里发现一个洞，不堵上，反而在洞里埋地雷，等着小偷踩进来。可问题是，小偷没来，路过的行人先遭了殃。WannaCry就是NSA武器库被泄露后的产物。

说回那个勒索病毒。它其实有致命弱点——一个“自杀开关”：如果某个特定域名被注册，病毒就会停止传播。一个22岁的英国研究员无意中发现了这一点，花10.69美元买下那个域名，才终止了这场全球性的灾难。你看，阻止一场网络浩劫的成本，有时候只是一杯咖啡的钱。但前提是，你得知道漏洞在哪里，并且愿意花那十块钱。