内容摘要：凌晨两点十七分，我盯着屏幕上那个跳动的光标，手心全是汗。眼前这台服务器是某政府门户网站的子站，漏洞扫描器报了个SQL注入点，而我已经试了七次，每次都被WAF拦了回来。 第八次尝试时，我换了个思路。把p

凌晨两点十七分，漏洞第步我盯着屏幕上那个跳动的漏洞第步光标，手心全是漏洞第步汗。眼前这台服务器是漏洞第步某政府门户网站的子站，漏洞扫描器报了个SQL注入点，漏洞第步而我已经试了七次，漏洞第步每次都被WAF拦了回来。漏洞第步

第八次尝试时，漏洞第步我换了个思路。漏洞第步把payload里的漏洞第步关键字拆成十六进制，再塞进一个看起来人畜无害的漏洞第步cookie字段里。几秒钟后，漏洞第步数据库返回了一个版本号——MySQL 5.7.26。漏洞第步那一刻我忽然明白，漏洞第步所谓漏洞挖掘，漏洞第步本质上就是和防守方玩一场猜谜游戏，而第一步永远是找到那个能让你说话不被切断的缝隙。

很多人以为漏洞挖掘是黑客电影里那种狂敲键盘的炫技。实际根本不是。真正的第一步往往枯燥得让人想摔键盘——信息收集。你得像个偷窥狂一样，把目标网站的所有页面翻个底朝天，看robots.txt里藏着什么，翻源码注释里有没有遗留的测试账号，甚至去搜一下运维人员是不是把密码贴在了GitHub上。我见过最离谱的一次，某银行测试环境的登录口令就写在页面右键查看源代码的第三行注释里，后面还跟着一句“别告诉领导”。

但光有信息还不够。你得学会判断哪些地方藏着真正的入口。我有个习惯，喜欢盯着那些报错页面看——不是看热闹，是看门道。一个返回500的接口，如果错误信息里带着完整的SQL语句，那基本等于对方把钥匙插在锁孔里没拔。有一次我测试某电商平台的优惠券系统，随手在手机号参数后面加了个单引号，结果页面直接吐出了整张用户表的字段名。那种感觉就像走在路上突然捡到一张没设密码的银行卡，既兴奋又有点不真实。

当然，这条路也走不通的时候更多。有一次我对着某个医疗APP折腾了整整三天，所有常规手段都试遍了，连个目录遍历都没挖出来。后来我换了台旧手机，用2G网络去访问它的接口——居然绕过了新版本APP才有的证书校验。你看，漏洞有时候不在代码里，而在那些被忽略的旧版本里。这行当就是这样，你永远不知道突破口会藏在哪个犄角旮旯。

说到这儿，我得泼盆冷水。现在很多人以为用几个自动化工具扫一扫就叫挖漏洞了，那顶多算按门铃——门铃响了没人开门，你就以为整栋楼是空的。真正的第一步从来不是找到漏洞，而是确认你面对的是什么。是个人站长随便搭的博客，还是大厂专门养着安全团队的核心系统？前者可能一个弱口令就能进去，后者你连它的真实IP都摸不着。

我至今记得第一次独立挖到漏洞时的场景。那是个校园选课系统，漏洞简单得可笑——重置密码的验证码就藏在响应头里，连加密都没做。但那个下午，当我看到后台管理界面出现在屏幕上时，手指都在发抖。后来我提交了报告，对方修完漏洞发了封感谢邮件，附件里是一张50块的京东卡。钱不多，但那种“我找到了别人没找到的缝隙”的快感，比什么奖励都实在。

漏洞挖掘的第一步，说到底是你愿不愿意蹲下来，去检查那些别人懒得看的地板缝。多数人只盯着聚光灯下的舞台，却忘了真正的入口往往开在后台的杂物间里。而且你得接受一个事实——大部分尝试都会失败，但每次失败都在帮你画一张更精确的地图。等哪天你闭着眼都能摸清目标网站的每个参数、每个接口、每处跳转，漏洞自己就会从屏幕里跳出来跟你打招呼。

现在，凌晨三点二十，我关掉了那个扫描器。今晚还是没进去，但我在日志里发现了一个测试账号的命名规律——日期加四位数字。明天我打算写个小脚本，从今年一月一号开始试起。说不定运气好，能撞开一扇门。谁知道呢。