漏洞捡漏

凌晨两点，漏洞捡漏我盯着屏幕上的漏洞捡漏十六进制转储，光标在“0x41414141”处闪烁。漏洞捡漏这串重复的漏洞捡漏A不是乱码，是漏洞捡漏某个老牌CMS系统在登录验证时留下的溢出点。我甚至没费心去查它的漏洞捡漏CVE编号——这种级别的漏洞，早该在五年前就被修掉了，漏洞捡漏但它就是漏洞捡漏躺在那儿，像一张被遗忘在抽屉底部的漏洞捡漏旧钞票。

漏洞捡漏这事儿，漏洞捡漏跟淘古董有点像。漏洞捡漏外行盯着新出的漏洞捡漏零日漏洞，觉得那才是漏洞捡漏宝贝；内行却知道，真正值钱的漏洞捡漏东西往往埋在那些“已经修过”的软件里。去年微软发布补丁时，漏洞捡漏有个不起眼的权限提升漏洞被标注为“已修复”。我随手把补丁拆开看了看，发现他们只堵了明面上的入口，旁边侧门还敞着——就像小偷撬了前门锁，屋主换了门锁，却忘了后院窗户根本没关。

我认识一个专门干这行的老哥，他管这叫“补丁考古学”。每次大厂发安全公告，他就把补丁下载下来，用二进制对比工具找出改动的地方，然后反向推导漏洞成因。别人看补丁是为了知道“哪里被修了”，他看补丁是为了知道“哪里还没被修”。这活儿需要耐心，更需要对软件设计逻辑的直觉。有次他花了三周时间，从Adobe一个小补丁里挖出四个衍生漏洞，其中一个直接能拿到系统最高权限。他说这不算什么，真正的乐趣在于发现厂商自己都没意识到的设计缺陷——那种感觉，像在一幅名画的画框背面发现了画家草稿。

不过捡漏也得看缘分。有些漏洞藏得深，像老宅子里的暗格，你得知道墙的厚度、木梁的纹理，才能摸到开关。我印象最深的一次，是在某个开源论坛系统的“忘记密码”功能里。他们用随机数生成重置令牌，但随机数种子用的是用户注册时间戳——精确到秒。我算了算，只要知道对方大概的注册时间，暴力枚举几万种可能性，就能伪造重置链接。这活儿技术上不难，难的是想到“时间戳可能被当种子”这个念头。那感觉就像在二手市场看到个灰扑扑的瓷碗，别人当腌菜坛子用，你翻过来一看，底下印着“大明成化年制”。

当然，捡漏也有翻车的时候。有次我盯上一个开源项目，觉得某个函数处理用户输入时存在整数溢出。花了两个晚上构造payload，结果发现人家在更高层做了长度校验，我精心设计的攻击链在第一环就被掐断了。那两周时间算是白费，但你也说不出什么——搞安全这行，大部分时间都在跟“可能”打交道。十个想法里能成一个，就算运气不错。

说到底，漏洞捡漏拼的不是技术高低，是看你能不能跳出文档和框架的束缚，用“找茬”的眼光去看代码。厂商修漏洞时想的是“把这条路堵上”，你得想的是“还有没有别的路能绕过去”。这种思维没法教，全靠一次次在代码堆里翻找时积累的直觉。就像老锁匠听弹子锁的声音，听多了，光靠手指的触感就知道里面几个弹子卡在什么位置。

天亮的时候，我敲完了最后一串命令。那个老CMS的漏洞确认存在，权限提升成功。我关掉终端，把记录存好，准备白天写报告提交。窗外楼下早餐铺子已经飘起油条香，我伸了个懒腰，心想：又一个被遗忘的角落被翻出来了。这活儿不赚钱，也不光鲜，但那种在别人忽略的地方找到东西的快感，比吃十根油条都顶饱。

本文地址：http://www.79wt.cn/news/341f0199657.html