深夜两点，未授问我盯着屏幕上那个熟悉的权访登录框，忽然意识到一个问题——我根本不需要密码。未授问这个管理后台的权访session cookie在七天前就过期了，但系统依然放我进来。未授问不是权访因为我技术多高明，而是未授问因为开发者在某个版本更新时，把鉴权中间件注释掉了。权访 这不是未授问段子。我在甲方公司做渗透测试时，权访遇到过比这更离谱的未授问事。某政务系统的权访数据库备份文件，直接放在Web根目录的未授问`/backup/`文件夹下，文件名是权访`2024_full_bak.sql`。用浏览器输入URL，未授问就能下载到全市居民的身份证号和医保记录。他们甚至没给这个目录加个访问限制——连个最简单的`.htaccess`都没写。 未授权访问的本质，是信任了不该信任的东西。服务器信任了来源IP，信任了请求头里的某个自定义字段，信任了默认配置，信任了"内网很安全"这个幻觉。但互联网上没有真正的内网，任何能触达的端口都是边界。 有个案例特别典型。某智能硬件厂商的物联网平台，设备固件里写死了MQTT broker的地址和端口。逆向工程师用模拟器连上去，发现broker完全开放，没有任何认证。更绝的是，topic命名规则是`/dev/{ productId}/{ deviceId}/command`。只要遍历productId从1到1000，就能给全世界所有该品牌的智能灯泡发送开关指令。想象一下，凌晨三点，全城的灯突然开始闪烁——这不是恐怖片，这是真实发生过的攻击演示。 很多人觉得未授权访问是低级漏洞，不如SQL注入或RCE有技术含量。但恰恰相反，它是最危险的漏洞类型之一。因为利用成本极低，不需要构造payload，不需要绕过WAF，甚至不需要知道目标用什么框架。你只需要知道URL，然后直接访问。 我见过最讽刺的修复过程。某乙方安全团队给客户做扫描，发现管理后台存在未授权访问。报告提交后，客户的运维人员回复："这个我们已经知道了，但项目经理说优先级不高，先把功能上线再说。"三个月后，该后台被自动化脚本扫到，数据库被拖走，赎金勒索信直接发到了CEO邮箱。那时候，功能倒是上线了，公司也差点下线了。 防御未授权访问，技术上其实很简单：统一鉴权中间件，默认拒绝所有请求，白名单放行。但真正难的是改变人的思维定式。开发者总觉得"这个页面没人知道""这个接口只有内部用""等上线再补鉴权"。可互联网上没有秘密，扫描器比你更了解你的系统。 写代码时，把每个接口都当成公开接口来设计。把每个文件都当成能直接被下载来防护。别信来源，别信默认值，别信"应该没人能猜到"。你永远不知道哪个黑客，正拿着你公司的名字，在搜索引擎里搜`site:yourdomain.com filetype:sql`。