内容摘要：我盯着一台测试服务器，屏幕上滚过几百行日志，大多数是404错误。真正的攻击往往藏在200响应里——服务器正常返回了页面，但那个页面被悄悄改过。 发现漏洞的第一步，不是扫描器，是看代码。别急着上工具，先

我盯着一台测试服务器，现网屏幕上滚过几百行日志，站漏大多数是现网404错误。真正的站漏攻击往往藏在200响应里——服务器正常返回了页面，但那个页面被悄悄改过。现网

发现漏洞的站漏第一步，不是现网扫描器，是站漏看代码。别急着上工具，现网先打开你自家网站的站漏源代码，从登录功能开始看。现网我见过太多网站，站漏前端校验做得花团锦簇，现网后端却连最基本的站漏参数过滤都没有。你输入一个`admin' OR '1'='1`到用户名框里，现网如果后端直接拼SQL查询，那恭喜你，三分钟找到了一个注入点。

但多数人没权限看源码。那就换个思路，从黑盒角度摸。打开浏览器开发者工具，切到Network面板，挨个请求点过去。注意那些带参数的GET请求，比如`/user?id=123`，试着把id改成124、125，甚至`-1`。如果返回了别人的资料，这就是越权漏洞，比SQL注入更常见，也更隐蔽。

还有个笨办法，但极其有效——翻历史版本。很多网站用Git管理代码，如果某个`.git`目录被误暴露在web根目录下，直接访问`/ .git/config`，能下载到整个仓库。我去年帮朋友审计一个小型电商站，就是通过这种方式拿到了数据库密码。别笑，这类疏漏比想象中多，你拿Google搜`inurl:.git/config`，能搜出一堆真实站点。

说到扫描器，Nessus、AWVS这些工具能帮你发现已知漏洞，比如过期的组件版本、弱SSL配置。但它们对逻辑漏洞无能为力。真正的逻辑漏洞，比如密码重置流程里，验证码不失效、可以暴力枚举；比如支付环节，修改价格参数就能0元购——这些得靠人肉测试。我建议你花一个下午，把自家网站的核心流程走一遍：注册、登录、改密、下单、退款。每一步都故意输入畸形数据，比如超长字符串、特殊符号、空值。记录下服务器的异常响应，那些5xx错误，往往暴露出未处理的边界条件。

别忽略那些看起来不起眼的页面。后台登录页、API文档页、测试接口，都是漏洞高发区。有些开发者把调试接口留在生产环境，比如`/api/debug`，直接返回服务器环境变量。你扫目录时，用dirsearch跑个常见字典，`admin`、`test`、`backup`、`phpinfo`，这些词命中率不低。

最后说个反常识的观察——漏洞往往不是藏得深，而是藏在明处。越复杂的系统，攻击面越大，但真正致命的，往往是某个三年前写的上传功能，没限制文件类型，直接能传webshell。所以，别总想着找什么0day，先把那些显而易见的入口堵上。你检查过网站的robots.txt吗？那里面经常写着开发者不想让搜索引擎收录的敏感路径。

发现漏洞这事，七分靠耐心，三分靠运气。多试几次，别指望一次扫描就出结果。我遇到过最离谱的情况——一个站点的备份文件放在`/backup.zip`，访问时连登录都不用，直接下载整个源码。这种漏洞，扫描器永远报不出来，但只要你多看一眼URL，就发现了。