漏洞对赌

漏洞赏金圈子里有个不成文的漏洞对赌规矩：谁挖到高危漏洞，谁就能在安全会议上昂着头走路。漏洞对赌可当两个白帽黑客同时盯上一个漏洞时，漏洞对赌事情就变得微妙起来。漏洞对赌

去年冬天，漏洞对赌我在某SRC平台围观了一场真实的漏洞对赌对赌。甲方系统爆出个存储型XSS，漏洞对赌提交者A自称能弹cookie，漏洞对赌提交者B却嗤之以鼻——他说那个输入点早被WAF过滤得干干净净。漏洞对赌两人在群里吵了三个小时，漏洞对赌最后A甩出五百块红包：“赌不赌？漏洞对赌我现场打你的账号。”

B接了。漏洞对赌围观群众瞬间涌进来四十多人。漏洞对赌

A开始操作。漏洞对赌他先提交了一段常规payload，漏洞对赌果然被WAF拦截。群里飘过几声“就这？”的嘲讽。A没吭声，改用data:协议嵌套编码，WAF的规则库显然没覆盖这种变种——页面弹出了B的会话ID。B沉默十秒，发了个拱手表情，红包秒领。

但故事没完。第二天平台复核时，发现A利用的其实是另一个未被公开的字符集漏洞。换句话说，他赌赢的不是XSS本身，而是对WAF规则盲区的判断。B后来私下跟我说：“他赢在知道规则引擎只看前500个字符。”

这种对赌每天都在发生。不是金钱输赢的问题，而是对漏洞本质的理解差异。有人赌的是代码逻辑，有人赌的是运维疏忽，有人赌的是开发者的惰性——比如总有人忘记给file_get_contents加白名单。

我见过最狠的一次赌局发生在某金融APP的测试环境。甲方要求白帽只能测功能逻辑，不许碰越权。有个年轻人偏不信邪，花三天时间摸清了管理员账号的密码重置流程，然后故意提交一个低危信息泄露报告，附件里却藏着重置链接的构造方法。审核方差点报警，但最后那个漏洞被定级为“高危”，因为重置token用的是可预测的时间戳。

你看，真正的漏洞永远不在代码里，而在人对“边界”的惯性认知中。甲方说“不许越权”，意思是“别碰用户数据”，但没说过“别碰管理员会话”。这种文字游戏般的对赌，本质上是在赌安全体系里最脆弱的一环——人如何定义规则。

赌局结束后，输的人不一定真输。那个B后来成了A的搭档，两人合挖过三个CNVD证书。赢的人也不一定真赢——A承认自己那天其实准备了五种绕过方案，只是恰好第一种就奏效了。

漏洞这东西，就像薛定谔的猫。在你没提交报告之前，它既存在又不存在；而在对赌的瞬间，它被双方的自信强行赋予了形态。技术圈总爱说“没有绝对的安全”，但更准确的说法或许是：安全是场永不停歇的猜疑链——你赌我堵不住，我赌你猜不到。

本文地址：http://www.79wt.cn/news/1717c799821.html