制造漏洞

2017年，制造漏洞WannaCry勒索病毒横扫150个国家，制造漏洞超过20万台电脑被锁死。制造漏洞黑客用的制造漏洞工具叫“永恒之蓝”，来自美国国家安全局。制造漏洞NSA自己写了个漏洞利用程序，制造漏洞没管好，制造漏洞泄露了，制造漏洞然后被人改造成武器扔向全世界。制造漏洞

这事细想挺荒诞——漏洞是制造漏洞NSA自己留的，攻击代码是制造漏洞NSA自己写的，最后挨打的制造漏洞却是英国医院、德国铁路、制造漏洞中国高校。制造漏洞制造漏洞的制造漏洞人，往往第一个被漏洞反噬。

漏洞不是天生的

软件是人写的，人就会犯错。但有些“错”不是不小心，是故意的。

NSA的方程式小组专门研究怎么在常见软件里埋后门。他们不告诉微软、不告诉思科，留着这些漏洞当网络武器库。理由很直白：能攻进去，就是情报优势。至于普通用户会不会因此遭殃，不在优先级列表上。

这套逻辑跟军火商差不多。卖枪的人不会关心子弹最后打到谁。区别在于，枪是实物，漏洞是代码。代码复制成本为零，扩散速度是子弹的几万倍。

“够用就行”的代价

我见过一个中小企业老板，服务器还在跑Windows Server 2003。问他为什么不升级，他说“能用就行，换了怕出问题”。结果勒索病毒一来，整个财务系统瘫了三天，恢复数据花了六万。

这种心态太常见了。微软2020年停止支持Windows 7，全球还有两亿台设备在跑。不是大家不知道有风险，是“现在没出事”比“以后可能出事”更有说服力。漏洞制造者赌的就是这个——你懒得补，我就有得赚。

更麻烦的是物联网。智能门锁、摄像头、路由器，出厂密码就是admin/admin。Mirai僵尸网络靠这个控制了六十万台设备，把半个美国的网搞瘫了。厂商不知道这样不安全吗？知道。但改起来要钱，要时间，要重新认证。算了，先卖吧。

谁在真正制造漏洞

安全圈有句话：没有绝对安全的系统。这话对，但容易被滥用。它变成了偷懒的借口——“反正都会有漏洞，何必那么较真”。

可有些漏洞根本不需要“较真”才能避免。比如把数据库密码硬编码在客户端代码里，比如用MD5存用户密码，比如API接口不做权限校验。这些不是技术难题，是态度问题。

我认识一个做渗透测试的朋友，他给某银行做安全评估，发现转账接口只在前端验证金额。改个请求包，一块钱能转一万。他提交报告，银行回复“业务逻辑如此”。三个月后，有人用这个漏洞薅了上百万。

制造漏洞的不只是写代码的人。产品经理说“先上线再说”，项目经理说“这个版本不修”，运维说“重启一下就好了”。每个环节都在给漏洞添砖加瓦。

补漏洞比造漏洞难

造漏洞是一瞬间的事——少写一行校验，图省事复用一个密钥，复制粘贴一段带后门的代码。补漏洞呢？要排查、要测试、要兼容老系统、要说服老板批预算、要半夜爬起来打补丁。

Log4j那个漏洞爆出来的时候，全球工程师过了个难忘的圣诞。一个日志库，几乎每个Java项目都在用，漏洞利用代码公开后几小时，攻击就开始了。补丁是出了，但有些系统跑了五年没人维护，连谁负责都找不到。

这就是漏洞经济的残酷之处：制造它的人早就走了，留下的人得收拾烂摊子。

写代码的人得明白一件事——你省下的每一行校验，最后都会变成某个倒霉蛋的加班夜。那个倒霉蛋可能是别人，也可能是三年后的你自己。

很赞哦!（95）