一个朋友上周让我看他公司的网站挖掘网站，说被人挂了个赌博广告。漏洞我打开源码，教程在footer里发现一行隐蔽的网站挖掘iframe，指向一个俄罗斯IP。漏洞这不是教程被黑，这是网站挖掘被“路过”——扫描器每天扫几百万个网站，专找没打补丁的漏洞。

漏洞挖掘没那么玄乎。教程说白了，网站挖掘就是漏洞找开发者偷懒的证据。大多数网站漏洞，教程不是网站挖掘黑客多聪明，而是漏洞程序员少写了一个判断。

拿SQL注入举例。教程你搜索框输入`' or 1=1 --`，如果页面还是正常显示所有商品，恭喜，中奖了。原理就一句话：开发者把用户输入直接拼进了SQL语句。修复也简单，用参数化查询，一行代码的事。但国内大量老系统，尤其是2015年前建的企业站，这种洞一挖一个准。

XSS更普遍。我测试过十几个本地生活服务网站，超过一半在用户昵称处没做过滤。你提交``当昵称，别人浏览你主页时就会弹窗。弹窗无害，但换成窃取cookie的脚本呢？管理员cookie一丢，整个后台就裸奔了。这类洞的根源，是开发者默认“用户都是好人”。

文件上传漏洞是重灾区。很多后台有头像上传功能，只检查了文件扩展名。绕过的思路很野：上传一个`.php.jpg`，或者图片马——就是在正常图片末尾追加PHP代码。服务器如果没严格解析，配合一个解析漏洞，就能直接getshell。我见过最离谱的案例，某政府网站的上传接口连路径都没隐藏，直接暴露在公网，传上去的webshell还能被搜索引擎收录。

但说实话，现在手工挖洞效率太低。工具才是主力。Burp Suite是标配，抓包改包全靠它。AWVS和AppScan做常规扫描，能扫出大部分已知漏洞。真正有意思的是逻辑漏洞，工具扫不出来，得靠脑子。

比如越权。你登录A账号，把请求里的用户ID改成B的，看能不能访问B的订单。很多电商平台的优惠券接口就栽在这上面。还有个经典案例：某支付平台的重置密码接口，验证码校验在客户端完成——把响应里的`false`改成`true`，直接跳过验证，任意账号都能重置。这活儿工具干不了，得手动抓包，然后一点一点改参数试。

挖洞的日常，七成时间在“碰运气”。打开目标网站，先看是什么CMS。WordPress、ThinkPHP、Laravel，都有公开的漏洞库。用WPScan或者nuclei跑一遍已知漏洞，命中率不低。去年爆的ThinkPHP RCE，我实测过，国内还有不少企业站没修复，直接命令执行，比开自家电脑还快。

别急着高兴。挖到洞只是第一步，证明危害才算完事。SQL注入就拖库，XSS就弹cookie，RCE就执行`whoami`看权限。把过程截图，写清楚复现步骤，这才算一个完整的报告。

最后说点实在的。别拿漏洞工具去扫未授权的网站，这在《网络安全法》里是违法的。想练手，用DVWA、Pikachu、Sqli-labs这些本地靶场，或者去补天、漏洞盒子提交SRC——很多大厂有漏洞奖励计划，一个高危洞几千块，比跑外卖强。

漏洞挖掘的本质，是跟开发者玩心理博弈。你猜他在哪里偷了懒，他就把洞藏在那里。多试几次，你会发现，大部分人偷懒的地方，都惊人地相似。

(责任编辑：百科)