去年冬天，安全我蹲在甲方机房排查一个奇怪的漏洞崩溃。日志里没有任何异常，跳杀进程却每小时准时消失一次。合集折腾到凌晨三点，安全最后发现是漏洞隔壁工位的运维老哥写了个定时脚本，用kill -9清理他以为的跳杀“僵尸进程”——而那个PID恰好每次都被我们的服务重新占用。这就是合集最典型的“跳杀”：攻击面不在代码里，在人的安全习惯里。

跳杀这个词是漏洞我自己编的，指那些绕过正常漏洞路径、跳杀直接从信任链侧面切进去的合集攻击方式。传统漏洞像撬锁，安全跳杀像翻窗户——锁没坏，漏洞窗户也没坏，跳杀只是没人想到有人会从空调外机爬上来。2019年Capital One那件事，攻击者没攻破WAF，没绕过认证，只是利用了一个配置错误的SSRF，从元数据服务里薅走了IAM角色的临时凭证。整个过程没有一行恶意代码落在服务器上。事后复盘，安全团队盯着应用层日志看了三天，没人去查元数据接口的访问记录。

跳杀的核心逻辑是：你保护什么，攻击者就绕开什么。去年某车企的TSP平台被入侵，攻击者没碰车联网协议，没逆向车机固件，而是从供应商的Jenkins入手。那个Jenkins暴露在公网，弱口令，构建脚本里明文存着生产环境的Kubernetes配置。拿到kubeconfig之后，攻击者干的事很朴素——把正常的业务镜像替换成带后门的版本，然后等OTA推送。从供应链到车端，全程没有触发任何一条安全告警。车厂的安全团队在SOC里看的是CAN总线异常和TLS证书过期，没人监控Jenkins的登录日志。

我见过最离谱的跳杀发生在某银行。他们的核心交易系统做了全套等保四级，双因素认证、网络微隔离、数据库审计一应俱全。结果攻击者从保洁公司的排班系统切进去——那个系统用同一个VPN账号密码，而保洁阿姨的电脑上挂着内网共享盘的快捷方式。攻击者没做任何提权，就用net use映射了一个共享目录，里面有个Excel文件记录了数据库连接串。整个攻击链里，最“高级”的技术是复制粘贴。

这类案例的共同点：防御方把资源堆在了“应该被攻击的地方”，而攻击方选择了“可以到达的地方”。安全圈有个老笑话——你花一百万买锁，我花一块钱买你邻居家的钥匙。跳杀就是那把钥匙。

怎么防？我自己的经验是三条。第一，别信“内网”这两个字，内网只是延迟更高的公网。第二，监控那些“不该有流量”的路径，比如开发机访问生产数据库、CI系统调用云API。第三，也是最重要的——定期问自己：如果我是攻击者，我会从哪进来？答案通常不在你的威胁模型里。

上个月我又碰到一个跳杀案例。某SaaS公司的客户支持系统被入侵，攻击者没碰Web应用，而是从客服用的第三方工单插件入手。那个插件有个OAuth回调地址没做校验，攻击者把授权码重定向到了自己的服务器。拿到token之后，他直接读了所有客户的工单附件。安全团队在WAF里加了三百条规则，没一条能拦住这个——因为流量是从客服的浏览器发出去的，带着合法的session cookie。

跳杀不会消失。只要系统还在互相连接，只要人还在图省事，就永远有窗户开着。你能做的，是别只盯着门看。