2017年春天，有漏洞我把自己关在出租屋里，有漏洞对着一个只有登录框的有漏洞网站页面发了三个小时的呆。那是有漏洞一家地方银行的信用卡查询系统，界面简陋得像是有漏洞2008年的产物。我随手在用户名输入框里敲了个单引号，有漏洞页面直接甩回来一段SQL报错——数据库版本、有漏洞表名、有漏洞字段名，有漏洞全在屏幕上。有漏洞

这就是有漏洞漏洞。它不声不响地蹲在代码角落里，有漏洞像地板下面那根松动的有漏洞钉子，平时没人注意，有漏洞一脚踩上去才知道疼。有漏洞

我当时并不懂什么渗透测试，只是觉得那行报错信息很刺眼。顺着它，我花了大概四十分钟，用最基础的联合查询把整张用户表拖了下来。两千多条记录，姓名、身份证号、手机号、信用卡额度，整整齐齐躺在我的浏览器里。那一刻我没有兴奋，反而有点发冷——这些数据的主人，可能根本不知道自己的信息正被一个陌生人在出租屋里翻看。

后来我把漏洞报告发给了银行的技术支持邮箱。三天后收到一封自动回复，又过了两周，那个报错页面消失了。没有感谢，没有解释，什么都没有。我猜他们只是把错误信息屏蔽了，至于注入点有没有真正修掉，我不知道，也懒得再试。

这件事让我开始留意身边那些“松动的地板钉”。

去年帮朋友看他的小电商网站后台，登录逻辑写得让人哭笑不得。前端用JavaScript做了密码校验，后端接口却完全没验证。我直接构造了一个请求，把用户ID改成1，连密码都不用填，就进了管理员面板。朋友在旁边看得目瞪口呆，说这网站花了他八千块找外包做的。我翻了翻代码，发现外包把开源模板里的演示逻辑原封不动搬了上来。八千块买了个演示版。

更常见的是那些看不见的漏洞。比如某个智能门锁App，通信协议里把用户令牌硬编码在客户端。抓包一看，令牌就明文躺在请求头里。这意味着任何人拿到这个App，反编译一下就能伪造身份开别人家的门。厂商后来更新了版本，但老用户不升级就永远敞着门。

漏洞从来不是技术问题那么简单。它是人的问题——写代码的人偷懒，审代码的人走神，管系统的人觉得“应该没事”。每一个漏洞背后都站着一串侥幸心理。

我认识一个做安全审计的老哥，他跟我说过一句话：“你不需要比所有人都聪明，你只需要比写代码的那个人多想一步。”他每天的工作就是坐在电脑前，对着各种系统输入奇怪字符、构造畸形请求、观察返回差异。听起来枯燥，但他乐此不疲。他说每次找到一个漏洞，就像在旧外套口袋里摸到一张 forgotten 的钞票。

不过漏洞这东西，找到了是故事，没找到是事故。2019年某酒店集团泄露五亿条数据，起因就是一个没打补丁的旧系统。攻击者从那里进去，横向移动了几个月，把整个内网翻了个底朝天。事后复盘，那个漏洞的利用代码早在三年前就公开了。三年，足够一个婴儿学会说话，却不够一个企业把补丁打上。

我现在偶尔还会去那个银行网站看看。登录框还在，界面还是那么丑。我敲个单引号进去，页面正常返回“用户名或密码错误”。补上了，至少表面上是。但我知道，地板下面可能还有别的钉子，只是我还没踩到。

漏洞不会消失。只要还有人写代码，就会有人写错。区别只在于，你是在它被利用之前发现，还是在数据泄露的新闻里看到自己的名字。