2017年5月12日，黑客一个普通的漏洞周五下午，英国国家医疗服务体系的攻击电脑屏幕开始集体闪烁红色警告。勒索病毒WannaCry像野火一样烧过150个国家，黑客手术被迫取消，漏洞急诊室陷入瘫痪。攻击攻击者用的黑客不是什么天顶星科技——他们只是捡起了美国国家安全局丢在墙角的一件旧武器，代号“永恒之蓝”。漏洞

这恰恰是攻击黑客漏洞攻击最讽刺的地方：最致命的攻击往往不来自最复杂的代码，而来自最基础的黑客疏忽。那个漏洞早在3月就被微软打了补丁，漏洞但医院系统里的攻击老电脑太多，没人记得更新。黑客黑客不创造漏洞，漏洞他们只是攻击漏洞的搬运工。

换个角度看，漏洞攻击就像在玩一场永不结束的捉迷藏。攻击者蹲在暗处，用扫描器对着全网IP犁地一样扫过去。你开着3389端口，他就试弱口令；你用了旧版OpenSSL，他就掏出心脏滴血攻击脚本。2019年那种针对Exchange服务器的攻击潮，本质就是一群脚本小子在收割没打补丁的倒霉蛋——真正的高手早就在漏洞公开前就完成潜伏了，他们管这叫“零日窗口期”。

有个细节特能说明问题。2021年Colonial Pipeline输油管道被勒索攻击后，调查发现黑客是从一个泄露的VPN密码进的内网。那个密码属于一个早已离职的员工，账号既没注销也没设双因素认证。整个攻击过程没用到任何高级漏洞，就像小偷发现你家钥匙插在门锁上没拔。

我接触过一些搞渗透测试的朋友，他们私下有个共识：90%的漏洞利用根本不叫“攻击”，叫“捡漏”。扫描器扫一圈，总有几个开着远程桌面还挂着弱口令的服务器。这些机器就像没关门的仓库，连路过的小偷都能顺手牵羊。真正的攻防较量，往往发生在补丁管理流程和应急响应速度上，而不是在二进制代码的刀光剑影里。

当然，也有让人脊背发凉的精密攻击。比如震网病毒，它用了四个零日漏洞，专门针对伊朗离心机的工控系统，让设备在物理层面自毁。这种级别的攻击背后站着国家级团队，普通企业连还手的资格都没有。但多数黑客没那个耐心，他们更愿意用钓鱼邮件骗你点开附件，再通过宏病毒把Cobalt Strike载荷种进内网——漏洞只是最后临门一脚的辅助工具。

说到底，漏洞攻击的本质是时间差游戏。安全研究员发现漏洞、写PoC、厂商出补丁，这条链路需要时间；而攻击者只需要在补丁发布前或用户更新前，用自动化工具把漏洞利用脚本刷遍全网。你永远不知道哪个角落还躺着没修复的旧漏洞，就像不知道哪块地板下面藏着白蚁。

最要命的是，人类对风险的感知总是滞后。Windows 7停止支持那天，全球还有上亿台机器在跑。它们就像穿着纸尿裤上战场的士兵，等真正挨了枪子儿才想起该退役了。黑客们最爱这样的对手——漏洞库里的武器永远用不完，而防守方连最基本的资产清单都理不清。

写到这里，我瞟了眼自己电脑上那个“有可用更新”的弹窗，默默点了“立即重启”。毕竟在这个行当里，你永远不知道下一个被攻破的，会不会就是那个懒得点更新的自己。