枚举漏洞

凌晨两点，枚举漏洞我盯着屏幕上的枚举漏洞403页面，咖啡已经凉透。枚举漏洞这不是枚举漏洞什么高深的后台系统，只是枚举漏洞某个小公司的客户管理界面，密码框旁边明晃晃写着“密码提示：你的枚举漏洞生日”。我把键盘拉近，枚举漏洞试着输入0101，枚举漏洞不行。枚举漏洞0202，枚举漏洞不行。枚举漏洞最后我输入了19900101——进去了。枚举漏洞那个管理员，枚举漏洞出生日期就挂在个人信息页上，枚举漏洞连改都没改过。枚举漏洞

这就是枚举漏洞最朴素的样子。它不挑系统大小，不看你用了什么防火墙，它只在乎你有没有认真想过一个事实：凡是人能记住的密码，就一定能被人猜出来。所谓枚举，说白了就是穷举，把可能的情况一个个试过去。听起来蠢，可它往往比任何高深的攻击都管用。

去年我帮朋友测试他公司的考勤系统，发现重置密码的接口居然不限制尝试次数。我写了个脚本，用员工工号加常见弱密码组合，从0001试到5000，总共跑了不到二十分钟。结果你猜怎么着？三百多个账号里，有四十多个用的还是初始密码“123456”。更离谱的是，其中七个账号的权限可以查看全公司工资条。朋友看完冷汗直冒，我却觉得这事儿特别讽刺——他们花了几十万买安全设备，却输给了一个for循环。

别以为枚举漏洞只发生在密码上。你注册账号时填写的手机号，验证码可能只有四位数。四位数意味着什么？从0000到9999，一共一万种组合。如果接口不限制频率，用分布式IP轮询，几分钟就能跑完。我见过一个电商平台，找回密码的验证码居然能重复使用，攻击者只要先触发一次发送，然后慢慢枚举，总能在验证码过期前撞上正确的那个。这种漏洞不是技术难题，纯粹是设计者偷懒。

真正的枚举攻击往往藏在你想不到的地方。API接口里的ID参数，如果用的是自增数字，那就相当于把整个数据库的钥匙挂在门口。你访问自己的订单，把链接里的order_id从10001改成10002，看到的是别人的收货地址——这叫水平越权，本质上也属于枚举的一种。有些开发者觉得用UUID就安全了，可如果接口本身不做权限校验，你就算把ID换成十六进制字符串，照样能遍历出所有数据。安全这事儿，永远不能指望攻击者看不懂你的规则。

写这段文字的时候，我又想起那个凉透的咖啡杯。其实修补枚举漏洞的方法简单得可笑：限制尝试次数，加验证码，做访问频率控制，对敏感接口做随机化ID设计。可为什么还有这么多系统栽在上面？因为大多数开发者默认攻击者会绕远路，会搞什么SQL注入、缓冲区溢出。他们没想到，最笨的办法往往最有效。

人总喜欢把简单的事情想复杂，然后在复杂里栽跟头。枚举漏洞就是这么个东西，它提醒你，安全不是一道高深的数学题，而是一扇门锁。门锁不结实，小偷根本不需要撬锁，推一下门就开了。