怎么发现漏洞
去年冬天，发现漏洞我在一个众测平台上看到某款智能门锁的发现漏洞漏洞报告。提交者是发现漏洞个大三学生，他用一个价值三十块钱的发现漏洞射频模块，在门锁旁边站了不到两分钟，发现漏洞锁就开了。发现漏洞厂商起初不认，发现漏洞说这是发现漏洞“物理接触攻击，不在威胁模型内”。发现漏洞学生没争辩，发现漏洞直接把视频发到了网上。发现漏洞三天后，发现漏洞厂商发布固件更新。发现漏洞
这事说明一个道理：漏洞往往不在你精心设计的发现漏洞防御工事里，而在你压根没当回事的发现漏洞角落里。发现漏洞的第一步，不是学多少黑客技术，而是换一种看东西的方式。普通人看门锁，看的是“能不能锁上”。找漏洞的人看门锁，看的是“它怎么判断该不该开”。这个判断逻辑一旦被找到，绕过它只是时间问题。
我刚开始接触这行时，总盯着代码里那些复杂的加密函数。后来一个老手跟我说，你别看那些，去看错误处理。果然，在一个登录接口里，密码错误时返回“密码错误”，用户名不存在时返回“用户不存在”。这就把用户名枚举出来了。正确做法是统一返回“用户名或密码错误”。这种漏洞没有任何技术含量，纯粹是开发时没多想。但它真实存在，而且遍地都是。
发现漏洞需要一种“不听话”的思维。正常人用软件，按照说明书走。找漏洞的人会想：如果我跳过这一步呢？如果我输入负数呢？如果我在这个参数里塞一段乱七八糟的东西呢？有个经典案例，某网站修改密码时，前端做了长度校验，后端没做。攻击者抓包把密码改成空字符串，系统居然接受了。原因很简单：后端代码里写着“如果新密码不为空，则更新”。空字符串在程序里不等于“不为空”，逻辑直接跳过了更新步骤，但系统仍然返回成功。用户以为自己改了密码，其实没改。
工具当然有用。Burp Suite、Nmap、sqlmap，这些能帮你自动化一些重复劳动。但工具不会告诉你哪里该测。我见过有人拿着扫描器跑了一整天，报告出来一堆“低危信息泄露”，真正的高危漏洞一个没发现。因为扫描器只认已知模式，而漏洞往往藏在业务逻辑的缝隙里。比如一个电商网站，优惠券可以叠加使用。扫描器不会觉得这有问题，但如果你手动试一下，发现叠加后总价变成负数，那就是漏洞。
还有一个容易被忽略的点：版本差异。同一个功能，安卓端做了校验，iOS端没做。或者老版本接口没下线，新版本加了限制，但老接口还能用。我之前测过一个App，新版本把用户ID做了加密，但抓包发现它还在调用一个老接口，参数里明文传着用户ID。直接改ID就能看别人的订单。这种漏洞不是靠聪明发现的，是靠耐心——把每个请求都看一遍，把每个参数都改一改。
说到底，发现漏洞的核心是理解系统“应该怎么工作”，然后去找它“实际怎么工作”之间的偏差。这个偏差可能来自代码错误、设计缺陷、配置疏忽，或者单纯是开发人员偷懒。你不需要成为全栈工程师，但你需要对HTTP协议、数据库查询、身份认证这些基础东西有直觉。剩下的，就是不断问自己：如果这里出问题，会是什么问题？然后动手去试。
那个大三学生后来在博客里写：他试了十七把不同品牌的智能门锁，有十一把能被同样的方法打开。不是他多厉害，是厂商们犯了同样的错——把无线信号当成了可信输入。漏洞就在那里，等着有人不按常理出牌。