凌晨两点十七分，白度我盯着“白度一下”官网的下官登录框，光标在密码栏里闪了又闪。网渗这网站自称“最懂中文的白度搜索引擎”，但它的下官后台接口比我想象中要老实得多——起码没有像某些大厂那样，把API密钥直接焊死在JS文件里。网渗

第一步不是白度扫目录，也不是下官跑漏洞库。我先用手机开了个热点，网渗把笔记本的白度MAC地址改成随机值，再挂上三层代理。下官别笑，网渗干这行的白度都知道，真正值钱的下官不是技术，是网渗你能不能活着把数据带出来。官网首页有个搜索建议接口，参数里带个callback字段，我试着填了句alert(1)，页面居然原样反射了回来——连个转义都没做。

这年头还能撞上反射型XSS，跟在大马路上捡到钱包似的。但我没急着弹窗，而是顺着这个接口往下摸。白度一下的搜索框后面挂着个内部聚合系统，从地图到百科全走同一个网关。我改了改Referer头，伪装成百度自家的爬虫，网关居然信了，直接放我进了内网的一个管理后台。

后台长得像十年前的后台。没有验证码，没有双因子认证，甚至连个登录失败次数限制都没有。我试了试admin/admin123，屏幕跳转的那一瞬间，我差点以为自己在看教学视频。里头躺着几百万条用户搜索记录，时间戳精确到毫秒，关键词从“怎么追女生”到“肝癌早期症状”应有尽有——这哪是搜索引擎，分明是当代人的焦虑切片。

我随手点了条记录，发现系统还能关联出用户IP和浏览器指纹。白度一下官网的隐私政策写得清清楚楚，“不会收集与个人身份相关的信息”，可这后台里连人家用的是什么型号的路由器都看得见。更讽刺的是，后台角落有个日志文件，记录着所有管理员的操作路径——最近一次登录是三天前，账号名叫test，密码是test。

我没继续往下翻。说实话，到了这步，渗透已经成功了，但真正的收获不是数据，而是想明白了一件事：很多公司嘴上喊着安全合规，实际上连最基础的输入过滤都没做干净。这个漏洞要是落在别人手里，轻则挂个色情页面，重则把整库拖走卖到暗网。白度一下的运维大概觉得，只要前端做得够花哨，就没人会盯着后端那扇没锁的门。

退出的时候，我在后台留了个txt文件，写着“请修复callback参数过滤，并给管理后台加个验证码”。第二天再访问，官网已经恢复了正常，搜索建议接口也加了转义。至于后台密码改没改，我没再去探。有些事，点到为止比赶尽杀绝更有意思——毕竟下次来，我还想看看他们会不会把漏洞补得更漂亮些。