一个网站就是何找一个房子。门锁得再好，到网洞总有窗户没关严，站漏或者干脆有人把钥匙藏在门口花盆底下。何找我见过太多开发者的到网洞自信，他们相信自己的站漏代码是铜墙铁壁，直到某天数据库里的何找用户信息像自来水一样从某个接口哗哗往外流。

找漏洞不是到网洞黑客的专利，更像一场猫鼠游戏。站漏你不需要成为顶尖高手，何找只需比网站管理员多懂一点点。到网洞最经典的站漏入口永远是输入框——搜索框、登录框、何找留言板。到网洞往里面塞一个单引号，站漏看它会不会报错。报错就是好消息，说明数据库在跟你打招呼。我见过一个电商网站，把用户的收货地址直接拼进SQL查询，连参数化查询都没做。结果呢？用一条简单的union select就能把整个用户表拖出来。

别急着上工具。手工测试永远比扫描器聪明。先观察网站的每一个功能点，看看哪些数据会流到后端。注册时填的邮箱，会不会在管理后台直接显示？上传头像的接口，能不能改成上传PHP文件？文件上传漏洞是最蠢也最致命的——有些程序员只检查了文件后缀，没检查文件头，结果一张伪装成图片的恶意脚本就能在服务器上安家。

再说说逻辑漏洞，这玩意儿比技术漏洞更隐蔽。比如一个购物网站，结算时把商品数量改成负数，总价可能变成负数——系统反而要给你打钱。我遇到过一家在线教育平台，优惠券可以反复使用，只要在结算前不断切换浏览器标签页，就能无限叠加折扣。这类漏洞不需要高深技术，纯靠细心和一点坏心眼。

路径探测也很重要。试着在网址后面加上admin、backup、test这样的目录名，或者直接访问.git文件夹。我曾在某个政府网站发现整个源代码仓库被公开在web根目录下，连数据库密码都写在配置文件里。当时我的第一反应不是窃喜，而是后背发凉——这网站上线前到底有没有人做过安全测试？

XSS跨站脚本漏洞，听起来很高端，其实就是把脚本代码塞进页面里。找个评论区，提交一段带img标签的代码，如果页面原样渲染了，恭喜你中奖了。这种漏洞可以让攻击者盗取用户cookie，伪装成任意用户操作。更麻烦的是DOM型XSS，纯粹在前端发生，服务器日志根本查不到。

最后说说心态。找漏洞最容易犯的错是贪多嚼不烂。盯着一个点深挖，比到处乱扫有效得多。我曾在某个论坛的密码找回功能上耗了两天，最后发现它发送的验证码竟然写在HTTP响应头里——这得是多粗心的开发才能干出来的事。但那种找到后的快感，就像在旧货市场淘到宝，值回所有时间。

记住，漏洞永远存在，只是藏得深浅不同。你需要的不是多么高深的技巧，而是像侦探一样的耐心，加上一点打破砂锅问到底的偏执。下次再看到输入框，别急着打字，先想想它背后连接着什么。每个框都是一扇门，有些门后面是宝藏，有些是深渊，但总得有人去敲一敲。