挖漏洞这件事，挖漏洞说穿了就是挖漏洞找程序的“没想到”。程序是挖漏洞人写的，人一定会漏掉某些情况。挖漏洞你只要找到那个被漏掉的挖漏洞情况，就能让它干出设计者没打算让它干的挖漏洞事。

我最早接触这行时，挖漏洞盯着一个登录框看了三天。挖漏洞输入单引号，挖漏洞页面报错，挖漏洞数据库是挖漏洞MySQL。那一刻我意识到，挖漏洞开发者只想着让正常用户输入用户名和密码，挖漏洞完全没考虑有人会输入一串SQL语句。挖漏洞这就是挖漏洞漏洞的雏形——预期行为与实际行为的偏差。

从信息收集开始

别急着上扫描器。先搞清楚目标是什么。Web应用？客户端软件？物联网设备？不同目标，挖法完全不同。Web应用看URL参数、看Cookie、看JavaScript文件里有没有泄露的API密钥。客户端软件拖进IDA或Ghidra，看字符串、看导入表。IoT设备更直接，拆固件，binwalk一把梭。

我有个习惯：拿到目标先跑一遍目录扫描。不是迷信工具，而是看有没有备份文件、测试页面、管理员入口。有次扫出一个/backup/目录，里面躺着整个网站的源码压缩包。这种漏洞不需要技术，需要的是耐心和一点运气。

理解数据的流动

漏洞往往出现在数据从“不可信”流向“敏感操作”的路径上。用户输入是脏的，如果它没被清洗就进了SQL查询、系统命令、文件路径，那就有戏。

举个例子。某次我看到一个下载功能：download?file=report.pdf。直觉告诉我试试file=../../etc/passwd。果然，服务器把/etc/passwd吐出来了。这就是路径穿越。开发者以为用户只会传文件名，没想到有人会传路径。

再比如命令注入。一个ping工具，输入IP地址执行ping -c 4 8.8.8.8。你输入8.8.8.8; cat /etc/passwd，如果没过滤分号，命令就拼接执行了。这种漏洞在老旧设备里一抓一大把。

模糊测试与边界试探

手动测不过来的时候，上fuzzer。AFL、Boofuzz、wfuzz，选一个顺手的。喂给它大量畸形输入，观察程序崩溃。崩溃往往意味着内存破坏，可能转化为远程代码执行。

但fuzzing不是万能药。它擅长找崩溃，不擅长找逻辑漏洞。逻辑漏洞得靠脑子。比如密码重置功能，令牌是不是可预测？有没有绕过验证的步骤？我见过一个系统，重置密码时只验证了用户名，没验证邮箱所有权。输入任意用户名，直接改密码。这种漏洞扫描器扫不出来，得靠人盯着业务流程一步步推。

代码审计是捷径

有源码就读源码。白盒测试比黑盒快十倍。找危险函数：strcpy、system、eval、exec。追踪参数来源，看能不能从外部控制。PHP里$_GET直接进system()，基本就是命令注入。Java里Runtime.exec()参数拼接，同理。

读代码时注意“开发者注释”。有时候他们会写// TODO: validate input。那个TODO就是你的入口。

别忽视逻辑漏洞

技术漏洞越来越难找，逻辑漏洞反而遍地都是。电商网站，下单时把价格改成负数，账户余额反而增加。投票系统，刷票接口没做频率限制。这些漏洞不需要懂汇编，需要的是对业务的理解和一点“不守规矩”的思维。

我认识一个挖漏洞厉害的人，他有个习惯：每次看到“限时优惠”“仅限一次”这类字眼，就兴奋。因为“限制”意味着有状态，有状态就可能被绕过。

最后说点实在的

挖漏洞不是玄学。它是对系统行为的深度理解，加上持续不断的试探。工具是辅助，思维是核心。别指望一上来就挖到RCE，先从信息泄露、XSS、CSRF这些低危漏洞练手。挖得多了，手感自然来。

还有，别在没授权的情况下碰任何系统。这是底线。合法的漏洞挖掘平台很多，HackerOne、补天、漏洞盒子，够你练了。

挖漏洞的乐趣在于：你永远不知道下一个输入会触发什么。这种不确定性，让人上瘾。