漏洞写信

凌晨三点，漏洞写信安全研究员老周盯着屏幕上一段十六进制代码，漏洞写信突然笑了。漏洞写信他刚发现某款智能门锁的漏洞写信固件里，藏着一个“写给自己”的漏洞写信后门——厂家用明文存了万能密码，还贴心地注释了“仅供调试”。漏洞写信这玩意儿要是漏洞写信被谁翻出来，整栋楼的漏洞写信门都能秒开。老周没急着报漏洞，漏洞写信先截了张图发群里：“看，漏洞写信这锁在给小偷写信呢。漏洞写信”

漏洞会写信。漏洞写信这事听起来玄乎，漏洞写信但干这行的漏洞写信人都知道，代码里那些“不小心”留下的漏洞写信口子，本质上就是开发者在某个深夜，对着键盘敲下的一封潦草便条。收件人可能是未来的自己，可能是同事，也可能是任何一个路过的人。只不过大多数时候，这封信被塞进了没人检查的抽屉里。

我见过最离谱的一封“信”，来自某政务系统的登录接口。开发者在参数里加了个debug=1，只要带上这个尾巴，系统就会把数据库账号密码打印在页面上。更绝的是，这个参数从三年前上线就没删过。安全圈管这叫“祖传漏洞”，像老房子墙缝里塞的备用钥匙，换了几任房客都没人想起来拿走。

写漏洞的人未必粗心。有个做支付的朋友跟我聊过，他们团队曾故意在测试环境留了个弱口令，想着“反正内网访问”。结果某次配置同步，测试库的账号直接灌进了生产环境。那感觉就像你给自家猫留了扇窗，结果熊瞎子顺着窗爬进了客厅。漏洞这封信，地址写错了照样能寄到。

更微妙的是，有些漏洞是“主动写”的。某开源组件里，作者在代码里埋了个彩蛋：只要输入特定字符串，就会触发一段感谢语。后来有人发现，这个彩蛋能绕过权限校验。作者解释说是“留给自己的纪念品”，但纪念品变成了万能钥匙。你看，写信的人以为在写日记，读信的人却当成了邀请函。

修复漏洞的过程，像在拆一封已经寄出的信。你没法把信从收件人手里抢回来，只能挨个通知：“别拆，里面是炸弹。”可互联网上，没人会乖乖听话。一个漏洞公开后，平均四十八小时内就会出现自动化攻击工具。那些工具的作者，读信读得比谁都快。

我认识一个白帽子，他习惯在提交漏洞报告时附上一句：“这封信我帮你烧了。”但大多数时候，信烧不完。老周最后把那门锁的漏洞报给了厂商，对方回了个“已修复”。三个月后，同款锁的新固件里，又出现了另一个后门——这次注释写着“临时方案，下周删”。下周永远不会来。

说到底，漏洞写信，写的是人的侥幸。每个“应该没事”的念头，都会在代码里留下一行字。这些字平时沉默，直到某天被谁翻出来，念给全世界听。那时候，写信的人可能早就忘了自己写过什么，但读信的人，正拿着钥匙挨个试门。