2023年9月，信息某国产CRM系统被曝出一个SQL注入漏洞。安全厂商还没发补丁，漏洞GitHub上已经有人贴出了利用脚本。被攻三天后，知道我所在的信息安全团队监测到第一批自动化扫描流量——来自全球17个国家的IP，每秒尝试数百次注入。安全漏洞从“被知道”到“被大规模利用”，漏洞中间只隔了72小时。被攻

这不是知道特例。漏洞信息一旦进入攻击者视野，信息扩散速度远超多数人想象。安全厂商内部还在评估影响范围，漏洞暗网论坛上已经有人叫卖“0day转nday”的被攻打包利用工具。价格从几千美元跌到几百美元，知道只用了一周。

漏洞怎么被知道的

渠道比想象中杂。最直接的是补丁对比——厂商发布安全更新，攻击者下载新旧版本二进制文件，用BinDiff之类的工具一跑，改动的位置就是漏洞点。微软每月补丁日之后，CVE编号还没分配完，概念验证代码已经出现在推特上了。

另一种是蜜罐和扫描器的“意外发现”。Shodan、Censys这类搜索引擎持续爬取全网资产指纹，某个服务版本号突然变了，或者某个端口开始返回异常响应，有心人顺着线索就能摸到漏洞。2019年Capital One的数据泄露，源头就是攻击者利用了一个配置错误的WAF，而那个WAF的版本信息在Shodan上公开可查。

还有更隐蔽的——内部人员。某金融公司的一次红队演练中，攻击者没攻破外网，而是通过一个离职员工保留的VPN账号进了内网。那个账号本该在离职当天注销，但HR系统和IT系统之间的同步延迟了11天。漏洞不是技术问题，是流程问题。攻击者知道这一点。

知道之后会发生什么

攻击者的反应速度分三档。第一档是脚本小子，等公开EXP，拿现成工具扫全网。他们造成的噪音最大，但破坏力有限。第二档是专业团伙，拿到漏洞信息后先做武器化——写利用框架、加免杀、测试不同版本的目标。这个过程通常需要几天到几周。第三档是APT组织，他们可能早就通过其他渠道拿到了漏洞细节，甚至参与漏洞的“定向泄露”。

一个我亲历的案例：某企业内网用的OA系统存在文件上传漏洞。厂商在内部邮件里通知了核心客户，但邮件列表被泄露。两周后，攻击者利用这个漏洞上传了WebShell，横向移动到数据库服务器，加密了所有数据。勒索信里附带了漏洞的CVE编号——攻击者知道这个漏洞，而且知道哪些企业还没打补丁。

信息不对称在这里被彻底反转。厂商以为“小范围通知”能控制风险，攻击者却把通知本身当成了情报源。

防御者的困境

漏洞被知道的那一刻，防御窗口就开始倒计时。但多数企业的响应速度跟不上。补丁测试需要时间，业务部门怕影响稳定性，安全团队夹在中间。我见过一个极端案例：某漏洞的补丁在测试环境跑了三个月还没上线，理由是“等下一个维护窗口”。结果维护窗口还没到，攻击先到了。

更麻烦的是，攻击者会挑时间。周五下午发漏洞利用，安全团队周末人手不足。或者挑财报发布前，企业不敢轻易停机打补丁。这些策略不是猜测，是暗网论坛上公开讨论的“最佳实践”。

漏洞被知道不可怕，可怕的是知道之后什么都不做。或者更糟——以为别人不知道。