去年冬天在一个安全论坛的秋蝉犄角旮旯里，有人贴了张截图，渗试入上面是透测个叫"秋蝉sblog"的站点，URL后面跟着一串十六进制字符。秋蝉帖子标题就一句话："这玩意儿还没死？渗试入"底下跟了三十多条回复，一半人在问入口在哪，透测另一半人在说"早关了，秋蝉别找了"。渗试入我当时没当回事，透测截了个图就划过去了。秋蝉

三个月后，渗试入我在整理一份渗透测试靶场清单时又撞见了它。透测这次不一样——有人把入口地址贴出来了，秋蝉藏在GitHub一个废弃仓库的渗试入README.md里，用base64编码混在一堆假配置项中间。透测解出来是个IP加端口，挂着一行字：秋蝉sblog渗透测试入口，仅供授权测试使用。

我点进去看了。页面极简，白底黑字，连CSS都像是手写的。顶部一行小字标注着"v2.3.7 测试版"，下面列了五个模块：留言板、文件上传、用户中心、API调试、后台管理。每个模块旁边都有个绿色的小锁图标，但那个锁的SVG代码里藏着注释——<!-- 锁是假的，别信 -->。这种细节挺有意思，摆明了告诉来的人：这里就是让你打的。

留言板是最先被攻破的。输入框没做任何过滤，直接拼SQL。我试了' OR 1=1 --，返回了所有留言。再试UNION SELECT，数据库版本都出来了——MySQL 5.7.26。但奇怪的是，information_schema里只有三张表，其中一张叫flag_table，字段就一个flag。查出来是段MD5，拿去解密，得到的是"秋蝉"两个字的拼音。

文件上传那块更有意思。前端校验只查了后缀名，改成.phtml就过了。但上传后的路径被重写成了/upload/年份/月/日/随机哈希.后缀，而且目录权限设成了755，没法直接列目录。我试了.htaccess上传，被拦了；试了Content-Type伪造，也拦了。最后是在API调试模块找到的突破口——那个接口的file_path参数能读任意文件，用php://filter把上传的图片流读出来，里面藏着下一关的提示。

用户中心有个越权漏洞。把URL里的user_id=1改成user_id=0，直接进了管理员界面。后台管理页面加载时有个报错，Fatal error: Uncaught Error: Call to undefined function check_admin()，说明源码里删了关键函数但没删干净。顺着报错路径找到了/inc/functions.php的备份文件，functions.php.bak，里面注释写着："入口验证逻辑在v3.0移除，当前版本请直接访问/admin/index.php?debug=1"。

那个debug参数才是真正的入口。加上之后页面会多出一个"渗透测试模式"的开关，打开后所有防护全部关闭，SQL注入、XSS、文件包含随便打。我猜这站点本来就是给内部练手用的，后来被人扒了出来。现在网上流传的入口至少有七个不同版本，有的已经失效，有的被改成了钓鱼页。最靠谱的那个是qiuchan-sblog.test这个域名，但得在hosts里手动指向45.77.xx.xx，而且只在凌晨两点到四点开放。

我前后进了三次。第一次卡在文件上传，第二次过了但没拿到最终flag，第三次才把整条链走通。最终flag藏在数据库备份的压缩包里，密码是前几关所有提示拼接后的SHA256值。拿到的时候挺平静的，就是觉得这站点设计得挺贼——每个漏洞都留了后门，但后门本身又是另一个漏洞。像蝉蜕，一层套一层，最后剩下个空壳。

现在那个IP已经不通了。GitHub仓库也删了。但偶尔还能在一些小圈子里看到有人问"秋蝉sblog还有新入口吗"。没人回答。可能它本来就不该被这么多人知道。