web应用系统安全漏洞挖掘的定义

一个登录框，应用系你输入 ' OR 1=1 --，统安页面直接跳进了后台。全漏这不是洞挖定义电影桥段，是应用系2008年某政府网站的真实漏洞。web应用系统安全漏洞挖掘，统安说白了，全漏就是洞挖定义在别人写好的网站、小程序、应用系API接口里，统安找到那些开发者没考虑到的全漏错误路径，让系统做它本不该做的洞挖定义事。

很多人把这个过程跟“黑客攻击”混为一谈。应用系区别在于授权。统安渗透测试有合同、全漏有范围、有报告；漏洞挖掘可以是攻击者的日常，也可以是安全研究员的饭碗。我见过一个甲方安全工程师，每天的工作就是对着自家公司的二十多个业务系统，用Burp Suite反复跑扫描器，然后手动验证每一条告警。他说这活儿七成靠耐心，三成靠直觉。

漏洞挖掘的核心不是工具，是理解数据怎么流动。一个电商网站，用户提交订单时，价格参数从客户端传到服务端。如果服务端信任了客户端传来的 price=1，而不是从数据库重新查一遍，那挖掘者只需要改个数字，就能花一块钱买走一台电视。这种逻辑漏洞，扫描器扫不出来，靠的是人盯着请求包想：这个参数，后端真的校验了吗？

技术层面，漏洞挖掘覆盖的范围很宽。SQL注入、XSS、CSRF这些老面孔还在，但现在的重点早就转移了。API接口的越权访问——用A用户的token去读B用户的订单——在微服务架构里特别常见。还有SSRF，让服务器去请求内网地址，一不小心就摸到了云环境的元数据接口，拿到临时凭证。去年某大型物流公司的漏洞，就是快递查询接口没做频率限制，攻击者写个脚本遍历单号，几十万用户的姓名、电话、地址全出来了。

挖掘的方法论，大致分黑盒和白盒。黑盒就是啥也不知道，从登录页开始一点点试，像走迷宫。白盒是直接看源码，效率高得多，但前提是你拿得到代码。灰盒介于两者之间，知道部分信息，比如用了什么框架、什么版本。实际工作中，灰盒最舒服——你知道它用的是Shiro，那就直接找Shiro的反序列化漏洞利用链，不用瞎猜。

工具方面，Burp Suite是绕不开的。它的Repeater功能，让你可以反复修改一个请求包，观察响应差异。SQLMap跑注入，Nuclei批量扫已知漏洞模板。但工具会骗人。有次我扫出一个“高危”XSS，手动一验，发现输出点被HTML实体编码了，根本弹不出窗。扫描器只认特征，不认上下文。所以真正挖到漏洞的人，往往是那些愿意花半小时盯着一个参数发呆的人。

写报告也是挖掘的一部分。一个漏洞的价值，不光在于能不能利用，还在于影响面有多大。同样是越权，能看别人的昵称，和能改别人的收货地址，严重程度天差地别。我习惯在报告里附上完整的请求响应截图，再加一段录屏。甲方看懂了，修复才快。

这行做久了，会养成一种职业病：看到任何输入框，都想试试 <script>alert(1)</script>。看到URL里有 id=123，就想改成 id=124 看看能不能访问别人的数据。这种条件反射，就是漏洞挖掘的起点。