凌晨两点十七分，挖漏洞我盯着屏幕上那行十六进制地址，挖漏洞手边的挖漏洞咖啡已经凉透了。这是挖漏洞第三个通宵，目标是挖漏洞一个老掉牙的CMS系统，厂商早就不更新了，挖漏洞但还有几百家小企业在用。挖漏洞

挖漏洞这事儿，挖漏洞说白了就是挖漏洞跟程序员玩心理战。你得猜他写代码时哪里偷懒了，挖漏洞哪里图省事用了不严谨的挖漏洞函数，哪里觉得“反正没人会这么传参”。挖漏洞我赌他在图片上传这里没过滤二次渲染的挖漏洞图片头，赌他以为没人会往Exif信息里塞PHP代码。挖漏洞

第一波试探，挖漏洞上传一个正常的jpg，抓包看返回路径。第二波，改文件名加单引号，看报错信息。第三波，把webshell伪装成图片马，内容里塞满垃圾数据填充到1MB，绕过那个只检查文件头的前端校验。服务器沉默了几秒，然后返回了一个200 OK。

那种感觉很难形容。不是兴奋，更像是一种短暂的失重——你明明隔着网线，却感觉手指已经摸到了对方服务器硬盘的金属外壳。

但真正的深水区在逻辑漏洞。SQL注入和文件上传早就是入门课了，现在流行的是越权和业务逻辑绕过。上个月挖一个电商平台，重置密码接口把验证码直接放在响应头里，连猜都不用猜。还有个金融App，改一个userID参数就能看别人的交易流水，那哥们儿可能觉得前端不做显示就没人会发现。

低级吗？确实低级。但就是这些低级漏洞，每天都在真实世界里被利用。我见过修了三年还没修干净的厂商，也见过被通报后连夜上线WAF然后误杀所有正常用户的。安全这行最魔幻的地方在于，防守方要堵住所有口子，进攻方只要找到一个缝。

最讽刺的是有一次，我挖到一个后台弱口令，admin/admin888，进去一看，服务器上躺着上个攻击者留下的后门——一个比我先来的家伙，早就把数据库拖走了，还留了个txt文件写着“别删，我还会回来”。厂商完全不知情，日志被清得干干净净。那一刻我突然觉得，漏洞本身不可怕，可怕的是没人看。

凌晨四点，我把漏洞报告写好，附上复现步骤和修复建议，提交给CNVD。流程走完，这个漏洞就算“挖到”了。但我知道，同一套系统里可能还藏着十个八个类似的洞，厂商大概率只修我报的那个。下个月，换个参数，又能进去。

天快亮了。我关掉Burp Suite，屏幕暗下来，倒映出自己有点浮肿的脸。挖漏洞这活儿，技术上没什么了不起的，真正难的是你明知道堵不完，还是得一个个报。就像对着一个漏水的船，你拿着勺子往外舀，旁边的人问你能舀多久。

能舀多久？我不知道。但至少今晚，这个洞是我挖出来的，报告写得清清楚楚，修复方案也给到了。那行十六进制地址还留在剪贴板里，像一枚小小的勋章。