凌晨两点，漏洞查杀安全团队的漏洞查杀值班手机响了。某电商平台的漏洞查杀风控系统触发告警：一个来自越南IP的账号在半小时内下单了137次，全部使用0.01元优惠券购买黄金饰品。漏洞查杀这不是漏洞查杀促销活动被薅羊毛，而是漏洞查杀典型的业务逻辑漏洞被自动化脚本攻击。

漏洞查杀这件事，漏洞查杀外行看热闹，漏洞查杀内行看门道。漏洞查杀很多人以为漏洞就是漏洞查杀代码里写错了一个分号，或者某个函数没做参数校验。漏洞查杀实际上，漏洞查杀真正造成大规模损失的漏洞查杀漏洞，往往藏在业务流程的漏洞查杀缝隙里。上面那个案例，漏洞查杀问题出在优惠券核销与订单创建之间的时间差——系统先锁券再扣库存，但锁券和扣库存之间没有做原子性校验，脚本就卡在这个间隙里反复提交。

我见过一个更离谱的。某政务系统的人脸识别登录，前端把用户ID明文写在URL里。攻击者不需要破解人脸，直接把URL里的用户ID改成别人的，就能以任意身份登录。开发人员后来解释：“我们以为前端不可信，但没想到后端也没校验。”这种“以为”就是漏洞的温床。

查杀漏洞的第一步不是打开扫描器，而是把业务流程画出来。画流程图的时候，你会发现很多“想当然”的环节。比如“用户提交订单后系统会检查库存”，这个“检查”是在提交前还是提交后？检查结果有没有传递给扣减库存的接口？接口之间有没有事务保护？这些问题扫描器不会告诉你，但攻击者会。

工具当然要用。Burp Suite、AWVS、Nessus，这些是基本功。但工具扫出来的漏洞，大多是SQL注入、XSS、文件上传这类“标准漏洞”。真正要命的是逻辑漏洞，比如越权、支付篡改、验证码复用、密码重置缺陷。这些漏洞没有固定特征，工具扫不出来，只能靠人脑去推演。

推演的方法很简单：把自己当成攻击者，把系统当成一个不设防的玩具。登录的时候，试试把手机号换成别人的，看看能不能收到验证码。下单的时候，试试把价格改成负数，看看能不能提交。修改密码的时候，试试跳过旧密码验证，直接调接口。这些操作不需要高深技术，只需要一点好奇心和不要脸的精神。

有一次我给一个金融App做测试。注册流程要求填写邀请码，我随便填了一个，系统提示“邀请码无效”。但我抓包后发现，前端只是弹了个提示，后端依然返回了注册成功的token。也就是说，邀请码校验只在前端做了。这种漏洞，扫描器永远发现不了。

修复漏洞比发现漏洞更难。开发人员通常的反应是“加个判断”。比如发现越权，就在接口里加一行“if(userId != currentUser.id) return error”。但这样改，往往按下葫芦浮起瓢。正确的做法是梳理权限模型，把鉴权逻辑统一到网关或中间件，而不是在每个接口里散落判断。

还有一类漏洞是“设计缺陷”，修不了，只能重构。比如某系统的密码找回功能，通过回答安全问题来重置密码。安全问题只有三个选项：“你最喜欢的颜色”“你母亲的名字”“你小学的名字”。这些信息在社交媒体上随便就能找到。这种漏洞不是代码问题，是产品设计问题。改代码没用，得改流程。

漏洞查杀的终点不是“扫出多少漏洞”，而是“攻击者还能不能进来”。每次修复后，都要用同样的攻击路径再打一遍。打不通，才算修好。打得通，说明修复不彻底。这个过程很枯燥，但比写报告有意义。

最后说一个真实数据：某互联网公司内部统计，80%的严重漏洞是在业务上线后三个月内被发现的。也就是说，漏洞查杀不是一次性的项目，而是持续的过程。代码在变，业务在变，攻击手法也在变。今天修好的漏洞，明天可能因为一个新功能重新出现。所以，别指望一劳永逸。