油条漫画首页的油条页面搜索框，输入单引号直接返回500。漫画这个错误页面不是首页渗透自定义的，是测试Spring Boot默认的Whitelabel Error Page，堆栈信息没藏住，油条页面把`java.sql.SQLSyntaxErrorException`暴露在了响应体里。漫画

我盯着这个报错看了几秒，首页渗透意识到问题比想象中好啃。测试搜索功能大概率是油条页面字符串拼接进SQL，连预编译都没做。漫画试了几个常规payload，首页渗透`' or 测试'1'='1` 返回了全量漫画列表，确认注入点坐实。油条页面

首页的漫画加载逻辑

油条漫画的首页结构不复杂：顶部轮播、分类导航、首页渗透推荐列表、排行榜。轮播和推荐走的是同一个API，`/api/home/recommend`，参数是`page`和`size`。排行榜单独走`/api/rank/list`，带一个`type`参数。

我用Burp抓了首页的完整请求，发现推荐接口的`size`参数没有上限校验。改成`size=9999`，服务端照单全收，返回了将近3MB的JSON。再往上加到`size=999999`，响应时间从200ms飙到12秒，数据库连接池直接被打满，首页白屏。

这是个典型的资源耗尽型漏洞。没有验证码、没有频率限制、没有参数边界检查。攻击者写个循环脚本就能让整站瘫痪。

用户中心的一个越权

注册登录后，用户中心有个“我的评论”页面，接口是`/api/user/comments?uid=xxxxx`。我把uid改成相邻的数字，看到了别人的评论记录。再试了几个，全是真实用户的。这个越权做得太糙——uid直接明文传参，服务端只检查了登录态，没校验uid是否属于当前用户。

更离谱的是，评论内容里带用户手机号。有些用户在评论里留了联系方式，比如“求更新，加我138xxxx”。这些信息就这么裸奔着。

一个隐蔽的SSRF

漫画详情页有个“分享到微博”的功能。点一下，前端调`/api/share/preview`，传一个`url`参数。我试了`url=http://127.0.0.1:8080/actuator/env`，返回了内网的环境变量。再试`url=file:///etc/passwd`，读到了系统文件。

这个SSRF藏得不算深，但容易被忽略。分享功能通常不被当作攻击面，开发写的时候只想着“用户传什么URL就请求什么URL”，没做协议白名单和IP黑名单。内网的Actuator端点没关，等于把后门钥匙插在锁上。

前端的一些碎屑

首页的JS文件没压缩，注释里留着测试用的账号密码：`test/admin123`。虽然这个账号可能已经失效，但暴露了开发习惯。另外，`localStorage`里存了用户的token，没有HttpOnly标记，XSS可以直接偷。

XSS点也有。漫画评论区对`