内容摘要：凌晨两点，我盯着屏幕上的403错误页面，第七次把修改过的请求头塞进那个后台登录接口。咖啡已经凉透了，键盘上落着饼干碎屑。 漏洞往往藏在最不起眼的地方。这个政府招标平台的密码重置功能，发送验证码时居然没

凌晨两点，利用漏洞我盯着屏幕上的利用漏洞403错误页面，第七次把修改过的利用漏洞请求头塞进那个后台登录接口。咖啡已经凉透了，利用漏洞键盘上落着饼干碎屑。利用漏洞

漏洞往往藏在最不起眼的利用漏洞地方。这个政府招标平台的利用漏洞密码重置功能，发送验证码时居然没有限制请求频率。利用漏洞我抓包看了下，利用漏洞验证码只有四位数字，利用漏洞而且后端不做尝试次数锁定。利用漏洞理论上，利用漏洞一万次暴力尝试就能撞开任意账号。利用漏洞

写脚本的利用漏洞间隙，我忽然想起去年某银行App的利用漏洞教训。他们的转账接口用时间戳做签名参数，攻击者只要把时间调回昨天，旧签名就能重新生效。当时我向厂商报告，对方回复“内部已知晓”，转头却悄悄修复了漏洞，连个致谢都没给我。

这次不一样。循环跑了两千多次，验证码撞对了。进去之后发现管理员权限大得离谱——能导出所有投标企业的法人身份证照片。我截图留证，退出登录，然后做了个让同行骂我傻的决定：向该平台的运维邮箱发了封匿名邮件，附上漏洞描述和修复建议。

三天后，漏洞被修复了。又过了两周，我在漏洞平台看到同个系统的提交记录，白帽黑客署名“路人甲”，奖励金额为零。真讽刺，我的发现被人抢先交了报告，而对方连技术细节都写错了好几处。

后来我常想，利用漏洞获取的到底是什么？有人获取数据，有人获取赏金，有人获取名声。我那次只获取了一个教训：在安全圈，会挖洞的不如会包装的。但下次遇到漏洞，我大概还是会选择报告——不是因为我高尚，而是因为我见过太多被拖库后的企业，法人代表蹲在派出所门口抽烟的样子。

现在那个平台的系统已经换了开发商，新网站做得光鲜亮丽。我偶尔会去点点他们的找回密码功能，验证码依然是四位数字，依然不限次数。有些人永远学不会，但没关系，总会有人替他们记住。