2023年秋天，漏洞劫持一个做跨境电商的漏洞劫持朋友半夜给我打电话，声音发颤。漏洞劫持他的漏洞劫持独立站突然跳转到一个博彩页面，后台订单数据被锁死。漏洞劫持排查到凌晨三点，漏洞劫持问题出在一个不起眼的漏洞劫持第三方物流查询插件——插件调用的API接口存在未修复的SQL注入漏洞，攻击者通过这个口子拿到了数据库权限。漏洞劫持他说了一句话我记到现在：“我花了两年建站，漏洞劫持别人用三分钟就把它变成了赌场。漏洞劫持”

这就是漏洞劫持漏洞劫持的典型面貌。它不炸你的漏洞劫持服务器，不删你的漏洞劫持数据，而是漏洞劫持悄悄接管你的流量、你的漏洞劫持用户、你的信用。攻击者像寄生虫一样依附在合法业务上，用最小的成本撬动最大的破坏。

很多人以为漏洞劫持离自己很远。去年某省医保系统被劫持，大量参保人收到伪造的“医保停用”短信，点击后跳转到钓鱼页面。攻击者利用的是系统对外接口的越权访问漏洞——原本只能查询个人信息的接口，被构造参数后能批量拉取全量数据。这个漏洞存在了整整十一个月，期间没有任何告警。为什么？因为攻击者只劫持了查询结果，没有修改任何数据，系统日志里看到的全是“正常查询”。

我见过最隐蔽的一例，是一家SaaS公司的客户管理系统。攻击者通过反序列化漏洞注入内存马，把用户提交的工单内容替换成恶意脚本。前端页面看起来一切正常，但每个访问工单列表的客服人员，浏览器都会静默执行一段代码，把当前登录态发到境外服务器。整个过程持续了四个月，直到一位细心的运维发现某个客服账号在凌晨三点频繁调用导出接口。查下去才发现，攻击者已经用劫持来的账号权限，把客户合同数据卖了三轮。

漏洞劫持的可怕之处在于它的“寄生性”。传统攻击是破门而入，劫持是换锁——你还在用原来的钥匙，但门后站的是别人。攻击者往往选择那些低频、高权限、弱监控的接口下手。比如内部管理后台的导出功能、第三方回调地址、文件上传的预览接口。这些地方业务逻辑复杂，安全测试容易遗漏，而且一旦被劫持，很难从用户侧感知。

更麻烦的是，很多劫持行为在法律定性上处于灰色地带。攻击者不破坏系统，不窃取明文密码，只是“借用”了你的计算资源或数据通道。某次应急响应中，我们发现攻击者利用漏洞把受害服务器变成了代理节点，用来挖矿和发起DDoS。但受害企业直到警察上门才知道自己的服务器被当成了跳板。企业负责人问：“我们数据没丢，系统没瘫，这算被黑了吗？”算。劫持本身就是入侵，只是攻击者选择了更隐蔽的变现方式。

防御漏洞劫持，光靠打补丁不够。补丁修复的是已知漏洞，劫持利用的往往是业务逻辑缺陷。我建议团队做三件事：第一，给所有对外接口加上行为基线，比如某个查询接口平时每分钟调用20次，突然变成2000次，立刻触发告警；第二，对敏感操作实施二次验证，哪怕攻击者拿到了会话，也无法直接导出数据；第三，定期做接口权限审计，把那些“为了方便测试”留下的后门接口全部关掉。

那个做跨境电商的朋友后来把插件全换成了自研，接口加了签名和限流。他说现在每次看到后台有异常调用，都会想起那个被劫持的夜晚。漏洞劫持不会消失，它只会换一种方式寄生。我们能做的，是让寄生变得足够困难，困难到攻击者觉得不划算。