内容摘要：某金融机构的安全审计报告里，躺着一个被忽略半年的漏洞：内部论坛的附件上传功能，没限制文件类型。攻击者只需注册一个普通账号，就能上传带宏的Office文档，坐等某个倒霉蛋下载打开。没人发现，直到一次红队

某金融机构的发现安全审计报告里，躺着一个被忽略半年的和堵漏洞：内部论坛的附件上传功能，没限制文件类型。塞泄攻击者只需注册一个普通账号，密漏就能上传带宏的发现Office文档，坐等某个倒霉蛋下载打开。和堵没人发现，塞泄直到一次红队演练，密漏测试人员用这个入口摸进了核心数据库。发现事后追责时，和堵运维组说“不知道有这功能”，塞泄开发组说“当初需求没提”，密漏安全组说“我们扫过端口和Web漏洞，发现但这类逻辑问题不在常规检查清单里”。和堵

泄密从来不是塞泄某个天才黑客的炫技，而是无数个“没想到”叠在一起。我见过一家创业公司，员工用个人网盘传客户资料，行政在群里发过三次通知禁止，但没人告诉新人——有个刚来的实习生，入职第一天就把整个通讯录导出到自己的云笔记里。他真不是故意的，只是习惯用网盘同步所有文件。公司花了三天排查泄露路径，最后发现源头是个“没参加过培训”的人。

堵塞漏洞的第一步，是承认漏洞长在流程的接缝处，而不是技术的最深处。很多单位把安全预算砸在防火墙和入侵检测上，却忘了问一句：谁在管理离职员工的账号？某次渗透测试，我试着用一位离职半年的项目经理的账号登录，密码没改，还能访问项目文档。更讽刺的是，该公司的安全制度里白纸黑字写着“离职即冻结账号”，但人事部门根本没把离职名单同步给IT。

另一种漏洞更隐蔽——权限发放得过于慷慨。行政助理需要查看全公司工资条吗？不需要。但系统里，她的账号偏偏有财务共享文件夹的只读权限。这类“过度授权”往往源于当初图省事：创建账号时勾了“全部允许”，之后再没调整过。要堵这个口子，最土的办法反而最有效：每季度打印一份权限清单，让各部门负责人签字确认。没人愿意花时间逐行核对，但一旦出了事，签过字的纸就是追责依据。

还有一类漏洞，纯粹是“懒”出来的。某政府网站曾把加密备份文件放在Web根目录下的子文件夹里，文件名就叫“bak_2023.zip”。扫描器一扫就暴露了，下载后暴力破解密码，发现密码是“123456”。管理员事后解释，说备份脚本是外包写的，默认路径没改。你看，技术漏洞背后永远是人的惰性在撑腰。

堵漏不能只靠一年两次的攻防演练。真正的防线，是让每个普通员工都觉得自己是“安全链条上的一环”。我认识一位IT主管，他每周五下午随机抽三个员工，让他们演示如何识别钓鱼邮件。一开始大家嫌烦，半年后，真有销售员拦截了一封伪装成客户发票的钓鱼信，避免了一次货款诈骗。这比任何昂贵的安全培训都管用。

泄密漏洞就像老房子里的渗水点，表面看着干燥，内里早已潮湿发霉。只有隔三差五掀开地板看看，或者干脆在关键位置装上湿度传感器，才能防患于未然。别等水漫到客厅才想起修水管——那时候，邻居早就看见你家墙上的水渍了。