《私人教练韩漫免费阅读渗透测试》

我把那串网址丢进浏览器的私人渗透时候，压根没指望能打开。教练韩漫免费阅读站，韩漫尤其是免费挂着“私人教练”这种擦边题材的，通常活不过三天。阅读可它偏偏就开了，测试页面加载快得反常，私人渗透连个弹窗广告都没有。教练事出反常必有妖，韩漫这年头正规网站都恨不得塞满牛皮癣，免费一个盗版漫画站干净成这样，阅读要么站长是测试强迫症，要么就是私人渗透拿这页面当钓饵的。

先看证书。教练HTTPS倒是韩漫挂着，可签发机构是Let's Encrypt，免费的那种，域名注册时间查了下，上周三。典型的短命鬼配置。我随手点了部《私人教练》第一话，图片加载流畅得不像话，每张漫画的URL后缀都是相同的路径格式，连个随机参数都懒得加。这种静态资源直链，对爬虫来说简直是敞开了大门，可站长真会蠢到不设防？

我调出Burp Suite，把请求拦下来改了改Referer字段，服务器居然照常返回200。再试直接访问图片目录的上级路径，好家伙，目录列表开着，整个漫画文件夹像超市货架一样摊在眼前。这不像疏漏，倒像故意留的暗门——正常盗版站至少会用个nginx防跨目录，这站连基本的伪静态都没做。

顺着图片路径往上层翻，发现有个叫“backup_2024”的压缩包躺在那儿。下载下来一看，里面除了漫画源文件，还躺着一个PHP文件，命名叫“config_old.php”。打开瞅了眼，数据库账号密码明晃晃写着，用的是root，密码就六个零。这配置水平，搁十年前都得被同行笑话。

我试着用这个账号连了下远程数据库，居然通了。库里有几张表，除了用户注册信息，还有一张叫“admin_session”的，里面存着管理员的登录态。更离谱的是，旁边还有个“pay_log”表，记录着所谓的“VIP用户”充值记录——这站压根没开通支付功能，哪来的充值记录？唯一的解释是，这些数据全是伪造的，用来让访问者误以为站子有真实运营。

到这儿我算看明白了。这压根不是什么盗版漫画站，而是一台蜜罐服务器。那些“免费漫画”是饵，管理员账号是诱饵，连数据库密码都是故意设成弱口令的。谁要是动了贪念想拖库或者提权，服务器早就在后台把攻击者的IP、指纹、甚至键盘记录全给存下来了。这手法，像极了某些安全公司用来钓黑产的工具。

我关掉Burp，把浏览器缓存清了。那部《私人教练》的漫画页面还停在手机上，主角正在健身房教女主角做深蹲，姿势标准得一丝不苟。我没再往下翻，直接关了标签页。这年头，免费的东西最贵，你以为白嫖了别人的资源，其实自己才是被测试的对象。那个站长要是真在后台盯着，估计这会儿正看着我这边空荡荡的请求记录，纳闷怎么有人上钩了却不咬饵。

(责任编辑：休闲)