2023年秋天，信息系统某三甲医院的漏洞挂号系统被一个离职保安用默认密码登进了后台。他没写一行代码，信息系统只是漏洞把数据库里近百万条患者信息打包下载，转手卖给了莆田系的信息系统营销公司。这事后来上了新闻，漏洞但没多少人注意到一个细节：那个后台的信息系统登录口令，从系统上线那天起就是漏洞“admin123”，整整八年没换过。信息系统

这就是漏洞漏洞最真实的样子——它往往不是什么高深的技术对抗，而是信息系统一扇没关好的门。你花几十万买了防火墙、漏洞入侵检测、信息系统态势感知大屏，漏洞结果有人从消防通道大摇大摆走进来了。信息系统

我跟踪过一些漏洞披露的案例，发现一个规律：真正被利用来造成大规模数据泄露的，超过七成是已知漏洞。也就是说，厂商早就发了补丁，安全社区也反复预警过，但系统管理员没打。为什么没打？怕影响业务。一台跑着核心交易的服务器，重启一次可能损失几十万，IT部门不敢动。于是那个漏洞就在那里挂着，像一颗没拔的智齿，不疼的时候没人管，疼起来要命。

2017年的永恒之蓝漏洞是个典型。微软在当年3月就发布了MS17-010补丁，但两个月后WannaCry勒索病毒还是席卷了150个国家。英国NHS的电脑被锁死，手术取消，救护车改道。事后调查发现，很多被感染的机器运行的是Windows 7，而NHS的IT预算在过去五年被砍了三分之一。补丁就在那里，没人有精力去推。

还有一种漏洞更隐蔽，藏在代码逻辑里。比如某电商平台曾出过一个事：用户下单后，系统会先扣库存再生成订单，但扣库存和生成订单之间有个时间差。有人写了个脚本，在这个窗口期反复提交同一件商品，结果库存被扣成负数，订单却只生成了一笔。这种漏洞扫描器扫不出来，因为它不是缓冲区溢出，也不是SQL注入，它是业务流程设计上的裂缝。写代码的人当时可能觉得“没人会这么干”，但互联网上永远有人会这么干。

供应链漏洞是另一个让人头疼的方向。你用的开源组件，可能来自一个东欧的程序员，他三年前就不再维护了。某次Apache Log4j爆出远程代码执行漏洞，全球几乎所有Java应用都受影响。修复过程极其狼狈，因为很多公司根本不知道自己哪个系统用了Log4j，用了哪个版本。软件物料清单这个概念喊了好几年，真正落地的没几家。大家都是在出事之后才翻箱倒柜地查。

说回那个医院的事。后来整改报告里写了一条：加强安全意识培训。我看到这句就笑了。那个保安根本不需要什么安全意识，他只需要知道默认密码没改。问题不在人，在流程。一个系统上线八年，没有任何机制强制检查默认口令，没有任何人负责定期审计账户权限。培训一百遍，也挡不住下一个“admin123”。

漏洞这东西，本质上是个管理问题，技术只是它的外衣。你可以在代码里加再多的输入校验，在网络上布再多的探针，但如果没人对“谁有权访问什么”这件事负责，漏洞就会像野草一样，割一茬长一茬。我见过一家公司，安全团队只有三个人，要管两千台服务器。他们每天的工作就是追着业务部门问：这个端口能不能关？那个补丁能不能打？大多数时候得到的回复是：不行，业务在跑。于是他们只能把风险写进报告，然后归档。

所以别把漏洞想得太神秘。它就是一扇没锁的门，一把没拔的钥匙，一个没人看的日志。你不需要成为黑客，也能找到它。难的是让组织里有人愿意去关那扇门。