系统漏洞的危害

2017年5月12日，系统英国一家医院的漏洞急诊室突然瘫痪。电脑屏幕集体弹出红色勒索信，系统要求支付300美元比特币才能解锁病历。漏洞救护车被迫改道，系统癌症患者的漏洞化疗计划中断，一个等待紧急手术的系统病人因为无法调取影像资料，在担架上多躺了四个小时。漏洞这不是系统恐怖电影，是漏洞WannaCry勒索病毒利用Windows系统漏洞发动的真实攻击，波及150个国家，系统20万台电脑中招。漏洞

系统漏洞最阴险的系统地方在于，它不声不响。漏洞你照常开机，系统照常联网，甚至觉得今天的网速还挺快。但攻击者可能已经通过某个未修补的端口，在你的电脑里安了后门。就像小偷没撬锁，而是发现你家窗户的插销坏了——他不需要弄出动静，只需要等一个下雨天，趁风声掩盖一切时翻进来。

更麻烦的是，漏洞往往不是孤立的。一个看似无关紧要的权限提升漏洞，可能被攻击者当作跳板，一步步渗透进核心系统。2019年，某知名云服务商曝出漏洞，攻击者通过一个边缘的API接口，绕过了所有身份验证，直接读取了用户存储在云端的所有文件。那个API本来只用于内部测试，开发人员图省事没删，结果成了整个城堡的侧门。

普通人对漏洞的感知往往滞后。新闻里报了某个漏洞，你觉得事不关己，因为你的电脑里没什么机密。但攻击者不这么想。他们用自动化工具扫描全网，找到存在漏洞的设备，先植入挖矿程序，悄悄占用你的CPU挖加密货币。你只觉得电脑变卡了，风扇呼呼转，以为是天气热。直到电费单比平时高出一倍，才意识到不对劲。

还有一种危害更隐蔽——漏洞被用于情报收集。某些国家的黑客组织专门盯着高校、科研机构、媒体记者的电脑打。他们不加密文件，不勒索钱财，只是静默地拷贝邮件、聊天记录、未发表的研究数据。受害者完全不知情，直到几年后，某些机密出现在外媒报道里，才想起当年电脑确实卡过那么几周。

打补丁这件事，听起来简单，做起来难。大型企业的IT部门常年疲于奔命，因为系统更新往往意味着业务中断。银行不敢随便重启核心服务器，医院不敢在手术高峰期升级系统。于是漏洞就像墙上的裂缝，明知道要补，但想着“这周太忙，下周再说”。然后某个凌晨，裂缝里伸进来一只手，把保险柜搬空了。

说到底，漏洞是代码的必然副产品。人类写的程序不可能完美，每千行代码里平均有15到50个缺陷。这不是程序员不努力，而是复杂度到了一定程度，人的认知就跟不上了。所以别指望“绝对安全”的系统，那只是个幻觉。真正该问的问题是：当漏洞被发现时，你的应急方案跑得起来吗？备份真的能恢复吗？联系人名单里，有能半夜接电话的安全专家吗？

大多数人的答案，恐怕是沉默。那沉默本身，就是最大的漏洞。