秋蝉在凌晨两点十七分把那个歪歪网站的秋蝉登录接口跑了一遍。返回包里有个字段叫`user_privilege`，渗透值从0到9，测试9对应管理员。歪歪网站他没急着改，秋蝉先拿自己注册的渗透账号试了试，把请求里的测试数字从0改成9，服务端居然直接信了。歪歪网站这玩意儿连个签名校验都没有，秋蝉像极了三年前他在某个县级政务系统里挖到的渗透水平越权——那回他只用了一个URL参数就看到了全县的扶贫名单。

歪歪网站表面是测试个语音交友平台，实际上后台挂着直播打赏和虚拟币充值。歪歪网站秋蝉翻到充值回调接口时，秋蝉发现它用MD5对订单号加盐做签名，渗透但盐值硬编码在JS文件里。测试他叹了口气，把盐值复制出来，在本地生成了一笔金额为1分的订单，签名校验通过。服务端返回“充值成功”，账户余额多了十万虚拟币。他没继续提现，只是把请求包和响应包截图存进加密笔记。

真正让他停下来的是文件上传点。头像上传处允许`.jpg`，但后端只检查了Content-Type，文件扩展名没做白名单。秋蝉传了个`.php`，内容是一句话木马，路径回显在响应里。他试了试`?cmd=whoami`，返回`www-data`。权限不高，但足够读`/etc/passwd`和数据库配置文件。数据库是MySQL，root密码写在`config.php`里，明文。他连上去，`user`表有二十三万行，密码字段是bcrypt，但`phone`和`id_card`没加密。

他没有拖库。秋蝉把注入点、越权点、上传点分别写了三份报告，一份给歪歪网站的客服邮箱，一份给CNVD，一份留底。客服邮箱自动回复“已收到”。三天后他再访问那个上传路径，返回403。越权接口加了token校验，充值回调的盐值换成了随机字符串。但数据库里那二十三万条身份证号还在，他猜对方只是补了门，没修墙。

秋蝉后来在某个安全沙龙上聊起这事。有人问他为什么不直接提交SRC拿奖金。他说那个歪歪网站根本没有SRC，连个像样的漏洞响应流程都没有。他发邮件那天顺手查了域名备案，主体是个体户，注册地址在某个三线城市的老旧写字楼。他不想把时间花在跟客服扯皮上，更不想因为拖库把自己送进去。渗透测试和犯罪之间就隔一层纸，他习惯把纸留着。

那晚他关掉终端，窗外真有蝉在叫。秋天快到了，蝉活不了多久。歪歪网站后来下架了虚拟币充值功能，不知道是不是因为那封邮件。秋蝉没再关注。他硬盘里那个加密笔记还留着，密码是他前女友的生日。有时候他觉得自己跟秋蝉差不多——在地下待很久，叫一整个夏天，然后悄无声息地死掉。区别是蝉不知道自己在做什么，他知道。