凌晨两点十七分，佩奇我第三次刷新《佩奇文库漏洞官网》的文库首页。页面顶部那行红色宋体字还在——“本站仅收录已公开披露的漏洞文档系统缺陷，严禁利用技术细节进行未授权测试”。官网底下是佩奇密密麻麻的漏洞编号，从PEP-001排到PEP-347，文库像一排排墓碑，漏洞每个编号下面都压着一段被截断的官网代码片段和某个倒霉运维的深夜日志。

这个站点最早是佩奇几个做文档协作工具的安全研究员攒起来的。2021年冬天，文库某家在线文库产品被曝出权限绕过，漏洞用户能直接读取他人私密文件夹里的官网PDF。当时没人当回事，佩奇觉得不过是文库配置失误。直到有人发现同样的漏洞逻辑缺陷藏在另外七款主流文库系统里——包括那个名字带“佩奇”的。官网的域名注册于那年十二月，Whois信息被隐私保护盖得严严实实，但服务器IP指向冰岛一家小主机商。首页最底下有个不起眼的计数器，显示已收录漏洞三百四十七个，其中一百零九个标记为“未修复”。

我翻到PEP-212。这个漏洞描述只有一句话：“通过构造特殊分享链接，可枚举目标用户全部文档标题。”下面附了一段Python脚本，二十行不到，用requests库循环拼接参数。评论区有人留言说试了某政企文库，跑出四千多个文件名，包括“2023年Q3裁员名单”和“供应商返点明细”。留言者ID叫“peppa_fan”，头像是一只粉色吹风机小猪。这条评论存活了六小时，然后连同账号一起消失。官网没有删除记录，只在漏洞状态栏加了一行灰色小字：“厂商已申请屏蔽详情。”

有意思的是官网的更新节奏。每周三凌晨固定推送新条目，像某种地下刊物的发行日。我连续蹲了五周，发现漏洞提交者大多匿名，但代码风格分两派：一派用分号结尾，变量命名全是拼音缩写；另一派坚持snake_case，注释里夹带俄语脏话。有次PEP-301的补丁对比里，修复代码把`if (user.isAdmin)`改成了`if (user.isAdmin && user.mfaVerified)`，结果第二天就被绕过——攻击者直接伪造MFA状态字段。官网管理员在漏洞描述末尾加了句手写体批注：“建议直接删库跑路。”

真正让我后背发凉的是PEP-088。那是个逻辑漏洞，藏在文库的“历史版本对比”功能里。用户回滚文档时，系统会临时生成一个包含新旧内容的合并文件，存放在公开可访问的CDN路径下。路径规则是`/tmp/merge_{ docId}_{ timestamp}.pdf`，时间戳精确到秒。只要在目标用户点击回滚后的三秒内遍历时间戳，就能下载到合并文件——里面可能包含已删除的敏感段落。官网贴了一段Burp Suite的抓包截图，红色高亮部分显示某次请求返回了“董事会决议_最终版_勿外传.pdf”。截图右下角有个水印，是某家知名律所的Logo。这条漏洞至今挂着“厂商确认中”的标签，但最后更新日期停在去年九月。

我试着联系过官网的维护者。通过PGP加密邮件发到首页那个`admin@peppa-leaks.onion`地址，三天后收到回复，只有一行字：“别问，看代码。”附件是个加密压缩包，密码是PEP-347的漏洞编号。解压后是一份日志文件，记录着某次内部渗透测试的完整过程——从利用PEP-212枚举文档，到通过PEP-088提取合并文件，再到用PEP-301的绕过手法维持权限。日志最后写着：“目标文库日活八百万，其中三百万是企业账户。我们只公开了冰山上的雪。”

现在官网首页多了一行滚动公告：“本站不提供任何漏洞利用工具，所有PoC仅供防御研究。”但公告的CSS样式里藏着一行注释：`/* 信不信由你 */`。我盯着屏幕，窗外天快亮了。PEP-347的详情页突然刷新了一下，状态从“未修复”变成“厂商已确认，补丁开发中”。底下多出一条新评论，ID是“george_pig”，内容只有四个字：“该修修了。”

(责任编辑：休闲)