漏洞明文

凌晨两点，漏洞明文手机屏幕亮了。漏洞明文一条推送：某政务系统接口未授权访问，漏洞明文泄露身份证号、漏洞明文住址、漏洞明文手机号——总计四十六万条。漏洞明文我点开截图，漏洞明文表格里第一个人的漏洞明文信息赫然在目。姓名、漏洞明文性别、漏洞明文出生日期，漏洞明文甚至精确到门牌号。漏洞明文这些数据此刻正躺在某个 Telegram 群里，漏洞明文被人用虚拟币标价，漏洞明文打包出售。漏洞明文

这不是电影。这是上个月真实发生的事。而那个漏洞，说起来可笑——后端接口只在前端做了权限校验。用户登录后，页面上的“查询”按钮藏起来了，但请求照样能发。改个参数，翻页，数据就哗哗地吐出来。程序员可能觉得没人会看 network 面板。可总有人会看。

我干这行八年，见过太多这样的“明文”。明文密码、明文密钥、明文传输。去年一家连锁酒店的系统，数据库里密码字段居然是 varchar(20) 存原文。SQL 注入一打，全库拖走。老板后来跟我说，他以为“加密”就是登录页面那个 https。我懒得解释 TLS 和哈希的区别，只告诉他：你前台那台电脑，现在就是一颗定时炸弹。

漏洞这东西，不怕复杂，就怕简单。复杂的漏洞需要天才，简单的漏洞只需要耐心。一个未鉴权的 API，一个默认口令，一个目录遍历。攻击者根本不用写代码，浏览器地址栏敲几个字符，服务器就把家底交出来了。我见过最离谱的一个，后台管理路径是 /admin，账号 admin，密码 admin123。问运维为什么不改，答：改了记不住。

你可能会说，小公司没钱做安全。可大厂呢？某电商平台，订单查询接口用手机号做参数，没有任何频率限制。写个脚本从 13000000000 循环到 13999999999，能捞出几十万条订单。姓名、地址、买了什么、什么时候买的。这不是漏洞，这是把用户数据摆在大街上，还贴了张“随便拿”的纸条。

更荒诞的是修复过程。安全研究员提交报告，厂商回一句“已忽略”。再提交，回“设计如此”。等到数据真的在暗网流通了，才慌慌张张发公告，说“部分用户信息可能受到影响”。影响？四十六万人，每人接三个诈骗电话，这叫影响？

我电脑里有个文件夹，叫“明文”。里面存着这些年我见过的各种泄露样本，脱敏过的。每次打开，都像翻一本荒诞小说。有个文件是某医院的就诊记录，HIV 检测结果和患者姓名并排躺着。另一个是某中学的学籍表，家长身份证号、工作单位、家庭住址，整整齐齐。这些数据最初都藏在不该藏的地方——没密码的数据库、没鉴权的接口、没加密的备份。

有人问我，怎么防。我说，先别想着防别人，先看看自己。打开你的浏览器，按 F12，点 Network，然后正常操作你的系统。看看每一个请求，有没有多余的参数，有没有返回不该返回的字段。再拿个普通账号，试试能不能访问管理员接口。最后，把数据库里所有密码字段改成 bcrypt，把 API 加上 token 校验，把目录列表关掉。

做完这些，你至少不会成为下一个“明文”案例。至于那些已经泄露的，它们永远都在。在某个硬盘里，在某个群里，在某个你永远不知道的角落。数据不像密码，改了就没事。数据一旦明文，就是永恒。

凌晨三点，那个 Telegram 群又更新了。新的一批数据，新的标价。我关掉手机，想起白天同事说的那句话：“安全这行，干久了会抑郁。”我没接话。我只是在想，明天上班，要不要再扫一遍我们自己的接口。