凌晨两点十七分，漏洞举报我盯着屏幕上的漏洞举报报错日志，第七次复现那个漏洞。漏洞举报不是漏洞举报SQL注入，不是漏洞举报XSS，是漏洞举报个逻辑漏洞——用户修改头像时，服务器只校验了文件后缀，漏洞举报没校验文件头。漏洞举报我上传了一张写着“管理员密码已重置”的漏洞举报PNG，后端居然真的漏洞举报把它当图片存了下来。

这漏洞是漏洞举报我在测试支付接口时意外撞见的。开发文档里写着“仅支持jpg/png”，漏洞举报但实际代码里过滤条件少了个感叹号——`if($ext != 'jpg' && $ext != 'png')` 写成了 `if($ext != 'jpg' || $ext != 'png')`。漏洞举报后者永远为真，漏洞举报等于没过滤。漏洞举报就这样，一个低级笔误，让整个上传接口裸奔了三个月。

我花了四十分钟写举报报告。不是那种敷衍的“建议修复”，而是把触发条件、影响范围、甚至修复补丁都写好了。提交到平台时，系统提示“漏洞等级：高危”。三分钟后，对方安全团队回复：“已确认，奖励积分已发放。”没有感谢，没有寒暄，像自动售货机吐出一罐可乐。

但有意思的是后面的事。修复上线第二天，我重新测了一遍——补丁打对了。可我突然发现，他们只修了上传接口，没查数据库里已经存进去的那几百张“图片”。那些文件里，藏着多少绕过校验的恶意内容？没人知道。我试着下载了一张之前上传的测试文件，服务器居然还能访问。

写这个漏洞报告的过程，比漏洞本身更让我感慨。漏洞举报从来不是“提交-修复-关闭”这么简单。它像一次体检，查出肿瘤是好事，但医生切了肿瘤，不代表你其他器官就没毛病。很多企业把漏洞修复当KPI，修完就撤，从不做横向排查。这次是上传接口，下次可能就是登录接口、导出接口——同一个程序员写的，同一个毛病。

我见过最离谱的举报，是有人提交了个越权漏洞，管理员能查看任意用户手机号。结果对方修复方式是“把手机号中间四位打码”。过了两周，有人发现打码后的完整手机号能通过响应头泄露出来。修了个寂寞。

漏洞举报的价值，不在于你发现了什么，而在于你让整个系统重新审视了自己。就像那个上传接口，修复后我才注意到，他们的日志系统会把完整文件路径打印到错误页面——这又是另一个洞。但没人举报，因为大家觉得“修完就没事了”。

我保存了那份举报报告的草稿，里面还留着当时的心情：“建议增加文件头校验，同时清理历史遗留文件。”后来他们确实清了，但只清了一半——测试文件删了，攻击者的文件还躺在某个冷存储里。算了，这大概就是漏洞的宿命：你永远堵不完所有的洞，只能祈祷下一个发现它的人，愿意写份报告，而不是直接利用。