内容摘要：漏洞不是找出来的，是撞出来的。我这话说得有点糙，但干过渗透测试的人都懂——你在一个系统里翻代码、查配置、试接口，折腾三天一无所获，结果上厕所回来不小心点了个隐藏按钮，shell就弹回来了。 拿去年某电

漏洞不是漏洞找找出来的，是漏洞找撞出来的。我这话说得有点糙，漏洞找但干过渗透测试的漏洞找人都懂——你在一个系统里翻代码、查配置、漏洞找试接口，漏洞找折腾三天一无所获，漏洞找结果上厕所回来不小心点了个隐藏按钮，漏洞找shell就弹回来了。漏洞找

拿去年某电商平台那个漏洞来说吧。漏洞找他们有个优惠券系统，漏洞找前端页面看着挺干净，漏洞找就一个输入框加一个领取按钮。漏洞找我习惯性地抓包看了看请求参数，漏洞找发现有个user_level字段，漏洞找默认是1。改成2试试？没反应。改成3？还是没反应。改成99？系统直接返回“参数非法”。有意思了，这说明后端确实校验了这个字段，但校验逻辑可能只判断了数值范围，没判断用户身份。

于是我注册了个新账号，把user_level改成99，然后去领那张满1000减500的券。领到了。再用这张券下单，系统居然按99级会员的折扣给我算，一单省了三千多。这漏洞蠢吗？蠢。但它就是藏在最显眼的地方，因为开发压根没想过有人会手动改请求包。

找漏洞的核心就一条：别信输入，别信输出，别信中间任何一环。我见过太多新手拿着扫描器到处跑，扫出一堆“高危”告警，结果全是误报。真正的漏洞往往藏在业务逻辑的夹缝里——比如密码重置流程里，验证码校验和密码修改是不是同一个session？比如文件上传功能，后缀名过滤了，但文件头校验了吗？比如分页查询，你试试把page_size改成负数会怎样？

有个老前辈教过我一个土办法，我一直用到现在：把所有参数都往极端值捅一遍。字符串就塞超长文本，数字就填负数或者天文数字，数组就嵌套个十层。系统没崩，说明防御到位；系统崩了，或者返回了异常堆栈，那就有戏了。去年那个知名社交平台的信息泄露漏洞，就是这么捅出来的——把用户ID从1000开始往上加，每加一次就换个账号信息返回，压根没做越权校验。

当然，光会捅还不够，你得理解系统怎么想的。后端语言不一样，特性就不同。PHP的弱类型比较能让你用“0e123”绕过md5校验，Java的反序列化能让你通过构造特殊请求执行任意命令，Python的yaml.load能让你注入恶意对象。每个框架都有历史包袱，每个开发都有自己的偷懒习惯。那些默认配置、示例代码、注释掉的调试接口，全是从内部撕开的口子。

说句得罪人的话——现在很多所谓“漏洞挖掘”其实是靠撞运气。厂商修补了一个公开漏洞，第二天就有人拿补丁对比，逆向出漏洞点，然后换个姿势再打一次。这不算本事，顶多是体力活。真正的本事在于，你能从一段看似正常的业务逻辑里，嗅到不对劲的味道。比如为什么这个接口要返回额外的字段？为什么那个错误提示写得这么具体？为什么管理员操作和普通用户操作共用同一个函数？

最后说个实在的。找漏洞别老盯着大厂，他们的安全团队不是吃素的。去翻翻那些中小型企业的系统，尤其是用开源CMS二次开发的，十有八九有洞。默认后台路径没改的，弱口令挂着的，旧版本组件没升级的——这不是秘密，只是没人愿意花时间去看。你花一个下午翻完一套源码，可能比扫描器跑一个月都有用。漏洞就在那儿，它不躲，只是大多数人都懒得蹲下来看。