凌晨两点十七分，漏洞我盯着Burp Suite里那个标红的漏洞请求包，手指悬在键盘上没落下去。漏洞目标站点的漏洞登录接口把完整的SQL查询语句吐在了响应报文里——不是报错信息，是漏洞纯纯的数据库反馈，连字段名都整整齐齐排列着。漏洞这种漏洞URL，漏洞白帽子叫它“上帝之眼”，漏洞黑产叫它“提款机入口”。漏洞

漏洞URL最操蛋的漏洞地方在于，它长得跟普通链接一模一样。漏洞https://example.com/product?漏洞id=1 和 https://example.com/product?id=1' AND SLEEP(5)-- 放在浏览器地址栏里，肉眼根本分不出区别。漏洞但前者返回200，漏洞后者让服务器卡了五秒。漏洞就这五秒的延迟，足够一个脚本小子确认注入点存在。

我见过最离谱的案例是某政务网站。他们的数据查询接口用了三层WAF，但开发在拼接参数时忘了过滤XML实体。攻击者构造了一个包含外部实体引用的URL，直接把/etc/passwd文件内容带进了响应页面。你猜怎么着？那个漏洞URL就藏在“便民服务”菜单的“公积金查询”功能里，参数名是极其正经的card_id。没人会怀疑一张身份证号能撬开服务器的大门，除非你试着往里面塞一段&xxe;。

漏洞URL的存活周期比大多数人想象的短得多。从扫描器发现到公开PoC流出，平均只要47小时。但真正危险的URL从来不上CVE列表——它们活在暗网交易帖的附件里，或者某个Telegram群的置顶消息中。上个月有个朋友的公司被勒索，攻击者留下的后门URL就藏在404页面的注释里。那个页面平时根本没人访问，直到某天运维排查日志时才看见一串base64编码的路径。

有些漏洞URL甚至不需要技术门槛。去年某电商平台搞促销活动，优惠券领取接口的URL里直接带着discount=0.9的参数。有人把0.9改成0.01，下单时发现系统真按1%折扣算了。这算逻辑漏洞？算。但严格来说，它就是一个可以被任意篡改的URL。开发觉得“反正用户看不到源码”，可URL就明晃晃挂在浏览器地址栏里，谁都能改。

修复漏洞URL从来不是打补丁那么简单。你堵住了?id=的注入，攻击者换个?cat_id=又进来了。你过滤了单引号，人家用十六进制编码绕过。更恶心的是，有些漏洞URL藏在JS文件里，前端加载时才动态拼接。等安全团队扫描完，攻击者早把数据拖走三遍了。

写代码的人总爱说“输入校验做全了就没事”，可现实是业务逻辑越复杂，能钻的空子越多。我见过一个支付回调URL，签名算法用的是MD5，密钥硬编码在JS里——这哪是漏洞，分明是开发者把保险柜钥匙挂在门口还贴了张便条：“请自助取用”。

最后说个细节。上周帮朋友排查一个疑似被入侵的服务器，日志里发现某个漏洞URL被请求了八百多次，每次间隔七秒，像心跳一样规律。攻击者大概写了定时任务，每七秒检查一次后门是否存活。这种耐心，比写代码的认真多了。可惜认真用错了地方。