计算机漏洞包括哪些方面

2017年，计算机漏Equifax泄露了1.47亿人的洞包信用数据。事后复盘，括方问题出在一个叫Apache Struts的计算机漏开源组件上——一个补丁已经发布，但没人去装。洞包这不是括方什么高深的攻击手法，就是计算机漏一个已知漏洞没修。计算机漏洞的洞包覆盖面远比大多数人想象的宽，它不只是括方“代码写错了”这么简单。

代码层面的计算机漏漏洞是最直观的一类。缓冲区溢出、洞包整数溢出、括方SQL注入、计算机漏跨站脚本，洞包这些名字听着技术化，括方本质都是同一件事：程序没有正确处理用户输入。比如SQL注入，攻击者在输入框里填一段数据库指令，程序傻乎乎地把它当查询语句执行了。早年很多网站登录框就能被这种手法绕过，输入 ' OR '1'='1 就能直接进后台。这类漏洞至今没消失，OWASP每年更新的十大安全风险里，注入类问题常年占位。

但漏洞不全是代码的问题。设计阶段就能埋雷。比如某个系统在架构上就没考虑权限隔离，所有模块共用一个数据库账号，那一旦某个模块被攻破，整个系统就裸奔了。再比如密码重置流程设计成“回答安全问题即可修改密码”，而安全问题答案是“我最喜欢的颜色”这种能被社工猜到的信息——这是逻辑漏洞，代码本身可能写得毫无瑕疵，但流程走偏了。

配置问题造成的漏洞同样常见。Redis默认不设密码、Elasticsearch开放公网访问、S3存储桶权限设为公开——这些不是代码bug，是部署时没锁门。2019年Capital One的泄露事件，根源就是云上防火墙配置有误，攻击者拿到了临时凭证后能访问大量数据。写代码的人没错，配环境的人漏了一步。

供应链是近几年越来越突出的方向。你用的开源库、依赖包、第三方SDK，任何一个环节被污染，漏洞就顺着链条进来了。SolarWinds事件是典型案例：攻击者入侵了软件供应商的构建系统，在更新包里植入后门，然后通过正规更新渠道分发给上万家客户。你信任供应商，供应商的构建服务器被黑了，你就跟着中招。Log4j漏洞也是这个逻辑——一个Java日志库的漏洞，波及全球数百万应用，因为几乎所有Java项目都直接或间接依赖它。

硬件和固件层面同样有漏洞。Meltdown和Spectre影响的是CPU的 speculative execution 机制，不是操作系统或应用软件的问题。攻击者能通过侧信道读取本不该访问的内存数据。固件漏洞更麻烦，它藏在主板、网卡、硬盘控制器里，杀毒软件根本够不着。修复固件漏洞往往需要刷写ROM，普通用户几乎不可能自己操作。

人为因素也得算进去。社交工程不是“技术漏洞”，但它利用的是人的认知偏差。钓鱼邮件能绕过所有技术防护，因为收件人自己点了链接、输了密码。很多渗透测试报告里，最有效的入口不是零日漏洞，而是一封伪装成IT部门的邮件。

漏洞的边界在不断扩展。以前说漏洞，基本指软件代码缺陷。现在它包括配置错误、供应链污染、硬件设计缺陷、人为操作失误，甚至AI模型本身——对抗样本能让图像识别系统把停车标志认成限速标志。漏洞不是一个静态清单，它随着技术栈的演进而变化。你今天修完了所有已知CVE，明天换个框架、加个云服务、引入新的依赖包，攻击面就又变了。

修漏洞这件事，难的不是技术，是节奏。补丁发布和实际部署之间的时间差，就是攻击窗口。Equifax那个Struts漏洞，补丁到泄露之间隔了几个月。这几个月里，知道漏洞存在的人越来越多，而没打补丁的系统还暴露在外面。漏洞管理的本质不是“有没有漏洞”——肯定有——而是“你多快能发现并修掉它”。