2023年11月，漏洞调研某政务系统的漏洞调研一次常规巡检里，工程师发现了一个奇怪现象：数据库里多出三万多条空白记录，漏洞调研时间戳集中在凌晨两点到四点之间。漏洞调研没有登录日志，漏洞调研没有操作痕迹。漏洞调研最后查出来，漏洞调研是漏洞调研某个接口忘了做权限校验，任何人只要知道URL，漏洞调研就能往系统里塞数据。漏洞调研这个漏洞存在了整整七个月，漏洞调研没人发现。漏洞调研直到一次误操作触发了批量提交，漏洞调研才把它暴露出来。漏洞调研

漏洞调研这件事，漏洞调研听起来像安全团队的例行公事。但真正做过的人知道，它更像在黑暗里找裂缝。你手里有工具，有经验，有历史数据，可你永远不知道下一个洞藏在哪里。有人花两周扫完一个中型系统，报告写了八十页，结果最严重的问题出在一个前台留言板——管理员密码是“admin123”，而且登录页面直接写在robots.txt里。

我见过最离谱的案例，是一家电商平台的优惠券接口。逻辑漏洞，不是技术漏洞。用户领券时，系统只校验了券码是否存在，没校验是否已被领取。结果有人写了个脚本，同一张券反复领了四千多次，最后用这些券买了台电视，实付两毛钱。这个漏洞的发现过程也挺偶然——运营在做月度报表时，发现优惠券核销率异常，达到了137%。多出来的37%从哪来的？这才顺藤摸瓜查到了问题。

漏洞调研的方法论，市面上的书讲了很多。OWASP Top 10、渗透测试流程、代码审计规范。这些东西有用，但不够。真实环境里，漏洞往往不在教科书标注的位置。它们藏在业务逻辑的缝隙里，藏在开发人员赶工期的妥协里，藏在“这个接口只有内部调用所以不用鉴权”的假设里。去年有个金融类App，所有对外接口都做了严格校验，唯独一个“忘记密码”的短信重发功能，没有做频率限制。攻击者靠这个功能，一天发了十二万条短信，把短信通道打挂了。修复方案很简单，加个计数器。但发现它，靠的是有人半夜刷手机时注意到短信延迟突然变高。

做漏洞调研的人，得有点偏执。不能只看系统让你看的东西。得去猜，去试，去翻那些没人维护的旧接口。一个已经下线的功能，代码可能还在服务器上跑着。一个标注为“测试用”的账号，可能权限比管理员还大。我认识一个安全研究员，他的习惯是每次调研前先翻目标企业的招聘信息——看看他们最近在招什么技术栈的人，就能推测出系统里可能有哪些新老组件混用的情况。这招挺管用，他在一个招聘JD里看到“熟悉Struts2框架者优先”，然后就在目标系统里找到了一个没打补丁的Struts2接口。

漏洞调研的结果，往往不是一份漂亮的报告。更多时候，是一堆零散的发现、一些不确定的猜测、几个需要复现的步骤。真正有价值的部分，是那些“按理说不应该这样”的细节。比如一个接口返回的错误信息里带了数据库版本号，比如一个页面的隐藏字段里存了用户ID，比如一个上传功能只在前端校验了文件类型。这些细节单独看都不致命，组合起来就是一条完整的攻击链。

写漏洞报告的时候，我习惯把最严重的发现放在最前面，但不会用“高危”“紧急”这种词去吓人。事实摆出来，影响说清楚，复现步骤写明白。剩下的让读报告的人自己判断。毕竟，漏洞调研的终点不是报告，是修复。而修复的前提，是有人真的看懂了问题在哪。