2023年冬天，网络某三甲医院的安全信息科主任给我看了一条日志：凌晨两点十七分，一台内网服务器向境外IP发送了4.7GB数据。漏洞追踪下去，用途问题出在半年前离职的径包一个运维人员身上——他的VPN账号没注销，密码还是网络初始的“admin123”。这事听起来离谱，安全但类似漏洞每天都在被利用。漏洞

漏洞本身不是用途问题，问题是径包有人知道它、够得着它、网络还能动手。安全把这三件事串起来，漏洞途径就清楚了。用途

一、径包直接伸手：网络边界的硬闯

最粗暴的方式是扫描。攻击者用工具批量探测IP段，找开放端口、找已知漏洞版本号。比如某企业路由器固件停留在2019年，CVE-2020-XXXX的远程执行漏洞没打补丁，扫描器一碰一个准。2021年Colonial Pipeline输油管被勒索，入口就是一个没加多因素认证的旧VPN账号。这种途径不靠技术高明，靠的是防守方懒得更新。

另一种是撞库。你在A网站泄露的密码，被拿去试B网站。我见过一个中型电商的后台，管理员用“公司名+123”当密码，攻击者从社工库拿到这个组合，直接登录。没有漏洞利用，纯粹是密码复用。

二、骗人开门：社会工程学的精准打击

钓鱼邮件至今有效，因为人比系统好骗。2022年Twilio被黑，攻击者给员工发短信说“密码过期了，点这里改”，页面做得跟真的一模一样。拿到凭证后，他们进了内部系统，又偷了客户数据。整个过程没用到0day，全是“0day人性”。

更隐蔽的是水坑攻击。攻击者先黑掉目标员工常看的行业论坛，挂上恶意脚本。你只是去查个资料，浏览器就中招了。这种途径的可怕在于，你什么都没做错，只是去了个不该去的网站。

三、供应链的暗门

2020年SolarWinds事件，攻击者在Orion软件的更新包里塞了后门。18000家客户自动下载安装，包括美国多个政府部门。你信任供应商，供应商的代码被篡改，漏洞就顺着信任链爬进你家里。这种途径利用的是“信任传递”，防不胜防。

开源组件也一样。Log4j的JNDI注入漏洞爆发时，无数Java应用集体裸奔。你写代码时引用了一个库，这个库又引用了另一个库，最后某个底层组件有漏洞，你的系统就跟着遭殃。供应链的深度让漏洞的暴露面变得难以计算。

四、物理接触与内部人

2019年，某金融公司被罚，原因是保洁人员趁夜班拔走了一台没加密的备份服务器硬盘。物理接触能绕过所有网络防护。U盘摆渡、键盘记录器、甚至直接拆机读内存，这些手段在APT攻击里常见。

内部人更麻烦。斯诺登能拿走NSA的机密，靠的是合法权限。一个不满的数据库管理员，可以把查询权限变成导出全表。这种途径没有“漏洞”可补，只有权限管理和行为审计。

五、零日与N日：时间差里的机会

零日漏洞在补丁发布前被利用，比如Stuxnet用的四个Windows零日。但更多攻击用的是N日漏洞——补丁已经发了，你没打。Equifax泄露1.47亿用户数据，入口是Apache Struts的一个漏洞，补丁发布后两个月他们还没修。攻击者不需要零日，他们只需要你慢。

漏洞利用的途径在变，从直接扫描到供应链投毒，从钓鱼到物理接触。核心没变：找到那个没关的门，或者让人帮你开门。防守方要堵所有洞，攻击方只需要一个。这不对称，但这就是现实。