软件漏洞案例

2017年，软件Equifax公司泄露了1.43亿美国人的漏洞信用记录。这不是案例黑客用多高深的手段——他们只是没修一个Apache Struts的已知漏洞。那个补丁3月就发布了，软件Equifax的漏洞工程师5月才发现系统里跑着旧版本，但没人记得去更新。案例等到7月被入侵时，软件数据库里躺着几乎全美成年人的漏洞社保号、驾照号和信用卡数据。案例

你可能会想，软件这么大公司，漏洞安全团队肯定上百人吧？案例事实是，负责那个系统的软件工程师几个月前离职了，他的漏洞账号还在，密码还是案例"Password123"。更离谱的是，漏洞扫描工具明明报过警，但告警邮件被扔进了没人看的共享邮箱。

这种事儿太常见了。我见过一家做智能门锁的创业公司，他们的固件更新包没加密——谁拿到就能植入后门。问他们为什么不做签名校验？CTO说"怕用户升级麻烦"。结果呢，安全研究员演示了用手机直接开别人家门锁，视频传到推特上，公司连夜发声明说"这是实验室环境"。骗谁呢？

漏洞的本质从来不是代码问题，是人。代码只是把人的懒惰、疏忽、短视原封不动地搬进了机器里。你看那些被曝光的攻击手法，百分之八十都利用了"默认密码没改"、"测试接口忘关"、"日志权限设太宽"这种低级失误。2016年Mirai僵尸网络怎么起来的？就是扫了一堆摄像头，密码还是admin/admin。

有意思的是，越老练的黑客反而越喜欢钻这种空子。因为零日漏洞贵啊，一个能卖几十万美元。但打一个没打补丁的旧系统，成本几乎为零。就像小偷不撬你家防盗门，专找那些窗户没关的——不是他们技术差，是聪明。

我认识一个渗透测试员，他接过的项目里，十家客户有九家都能在半天内拿下。最夸张的一次，他直接用管理员权限登录了某银行的测试服务器，因为运维把生产库密码写在了代码注释里。他上报时对方还一脸震惊："我们明明做了堡垒机啊！"——堡垒机是装了，但没强制走。

说这些不是想吓你，是想让你明白：安全不是买几个防火墙就能解决的事。它得靠流程，靠习惯，靠每个写代码的人把"这可能被滥用"当回事。下次你看到哪个公司宣称"我们用了银行级加密"，先问问他们员工账号有没有设双因子认证，补丁管理流程是不是靠微信群通知。

漏洞永远是打不完的，但大多数伤害其实可以避免。问题在于，多数人非要等到被打了才知道疼。