2023年冬天，微信漏洞一个做安全研究的微信漏洞朋友给我发了条消息：“你试试在微信里搜自己的手机号，看能不能加到自己的微信漏洞小号。”我试了，微信漏洞搜不到。微信漏洞他说：“那就对了，微信漏洞但用另一个入口可以。微信漏洞”他让我打开“添加朋友”，微信漏洞选择“手机联系人”，微信漏洞然后手动输入自己的微信漏洞号码。结果跳出来的微信漏洞，是微信漏洞我自己的微信号。

这个逻辑漏洞本身不算严重——它只是微信漏洞绕过了微信“不能搜索自己”的限制。但问题在于，微信漏洞这个入口没有做频率限制。微信漏洞朋友写了个脚本，每秒请求20次，跑了半小时，微信没有封禁，也没有弹验证码。他拿这个接口去撞库，匹配手机号与微信号的绑定关系，成功率高得离谱。

微信的漏洞从来不是那种“一键盗号”的戏剧性存在。更多时候，它们藏在产品逻辑的缝隙里，像墙角没抹平的水泥，平时没人注意，但拿指甲一抠就能掉渣。

一个被忽视的“时间差”

2022年，有用户发现微信朋友圈的“可见范围”设置存在延迟。你把某条朋友圈从“公开”改成“仅自己可见”，服务器不是立刻生效的。在接下来的几秒到几十秒内，这条内容依然对外可见。有人利用这个窗口期，把敏感内容发出去，截图，再改权限。截图里显示的是“公开”状态，但实际已经隐藏。这种操作在纠纷取证里被反复使用。

微信后来修复了这个问题，但修复方式是缩短延迟，不是彻底消除。你如果现在去试，快速切换权限，偶尔还是能抓到一两秒的错位。这不是bug，是分布式系统的固有代价。可对于普通用户来说，这一两秒足够改变一件事的性质。

群聊里的“幽灵成员”

我另一个做社群运营的朋友遇到过更诡异的事。一个500人的微信群，群主踢了一个发广告的号。踢完后，群人数显示499。但第二天，那个被踢的号又在群里说话了。群主查成员列表，找不到这个人。可消息确实发出来了，头像、昵称都对。

这是利用微信的“群聊邀请确认”机制搞的。被踢的人之前通过某个群成员分享了群二维码，在自己被踢之前，用另一个小号扫码进了群，但没点“确认加入”。被踢之后，那个小号依然在“待确认”列表里。微信的踢人操作不会清理待确认列表。等群主忘了这事，小号点确认，就进来了。进来后不显示在成员列表，但能收发消息。

微信在2023年更新了群管理逻辑，踢人时会同步清理待确认邀请。但老群如果没触发更新，这个漏洞依然活着。我那个朋友的群，到现在还有个“幽灵”在里面，偶尔发一条拼多多砍价链接。

为什么这些漏洞修得慢

微信有超过10亿用户，任何改动都可能引发连锁反应。一个接口的频率限制，调紧了会影响正常用户加好友，调松了等于没调。产品团队只能取一个“大多数人无感”的中间值。这个中间值，就是攻击者的空间。

更麻烦的是，很多漏洞不是代码写错了，是产品设计时就没考虑那种用法。比如“手机联系人”入口，设计初衷是让你加通讯录里的朋友，不是让你搜自己。可代码不区分“自己”和“别人”，它只认号码。你输入自己的号码，它就去数据库里查，查到就返回。逻辑上没毛病，安全上有毛病。

我写这些不是要教人做坏事。只是想说，微信的安全边界比大多数人想象的模糊。你每天用的那些功能，背后有一堆没写进说明书的“例外情况”。有些被修了，有些还在。下次你改朋友圈权限的时候，可以等三秒再刷新。那三秒里，世界可能还没收到你的指令。