那么多漏洞

上周我把家里那台老路由器刷了开源固件，那多漏洞想着能多撑两年。那多漏洞结果刚连上网，那多漏洞后台就弹出一串红色警告——十七个已知漏洞，那多漏洞其中三个标着“高危”。那多漏洞我盯着屏幕愣了半天，那多漏洞这玩意儿平时就搁在电视柜角落吃灰，那多漏洞谁能想到它身上背着这么多雷。那多漏洞

漏洞这东西，那多漏洞跟家里墙角发霉差不多。那多漏洞你天天住着不觉得，那多漏洞等发现的那多漏洞时候，菌丝已经爬满整面墙了。那多漏洞

前阵子某大厂被曝出个逻辑漏洞，那多漏洞攻击者能通过一串特制请求，那多漏洞直接绕过支付验证。技术圈里炸了锅，可普通用户压根不知道。我有个朋友在那家公司做安全测试，他说这漏洞其实两年前就被内部工具扫出来过，报告提交上去，优先级被排到“下个季度评估”。下个季度又下个季度，直到有人真拿它薅了羊毛，才连夜发补丁。

你说这事儿怪谁？写代码的？审代码的？还是那个把报告塞进 backlog 底部的产品经理？都怪，也都不全怪。软件这东西，从第一行代码敲下去就开始长漏洞。就像你盖房子，图纸再精细，施工队再靠谱，住进去三年，水管该漏还是漏。区别在于，房子漏水你看得见，代码漏水你看不见。

我见过最离谱的一个案例，是某智能门锁的固件更新机制。它从服务器下载新固件的时候，居然不校验签名。什么意思？就是随便谁在中间截个包，塞个恶意固件进去，锁就认。你花两千块买的“安全门锁”，在黑客眼里跟纸糊的没区别。这漏洞后来被一个安全研究员在大会上公开了，厂商才急急忙忙推了个补丁。可那些已经卖出去、用户又从来不更新固件的锁呢？它们还在门上挂着，电池还有电，蓝牙还开着。

漏洞多，不全是因为技术差。更多时候是因为“够用就行”的心态。产品要赶工期，功能要抢首发，安全测试能省则省。反正用户不会看代码，投资人只看数据。等出了事，公关发个声明，技术团队加个班，热度过去就翻篇了。下次换个项目，同样的剧本再来一遍。

我写代码也十几年了，说实话，自己回头翻半年前的项目，都能找出几个想抽自己的地方。输入没过滤、权限没校验、日志里打了敏感信息。当时觉得“这地方不可能有人攻击”，后来发现攻击者根本不挑地方，他们专找你觉得“不可能”的角落。

最让人头疼的是，漏洞不会自己消失。你不修，它就一直在那儿。有的漏洞甚至成了“特性”，被下游系统依赖着，你想修还修不了。就像那台老路由器，我最后没刷固件，直接换了台新的。旧的那台扔进回收箱之前，我拔了电源，心想：这玩意儿要是能说话，估计会喊一句——“我身上还有十七个洞呢，你倒是修啊。”

可谁听得见呢。