百度漏洞

百度漏洞

2017年1月，百度漏洞百度贴吧被曝出一个逻辑漏洞：用户可以通过修改URL中的百度漏洞参数，直接访问原本需要权限才能查看的百度漏洞私密贴吧内容。这个漏洞存在了多久没人说得清，百度漏洞但被公开后，百度漏洞百度用了不到48小时就修补了。百度漏洞快得让人怀疑，百度漏洞他们是百度漏洞不是早就知道，只是百度漏洞懒得动。

我之所以记得这件事，百度漏洞是百度漏洞因为当时我正好在测试一个类似的问题。百度的百度漏洞某些接口对权限的校验，居然只在前端做。百度漏洞这意味着，百度漏洞只要你会用浏览器的百度漏洞开发者工具，把那段JavaScript禁用掉，就能看到不该看的东西。这不是什么高深的技术，一个刚学Web开发三个月的人都能发现。但百度没有发现，或者说，发现了也没当回事。

这不是孤例。2020年，有安全团队披露百度网盘的分享链接存在“撞库”风险——攻击者可以通过遍历分享码，批量获取用户的私密文件。百度的回应是“已修复”，但拒绝透露影响范围。我认识的一个白帽子说，他提交过三次类似的漏洞报告，前两次都被百度安全响应中心标记为“重复”，第三次干脆没回复。后来他把漏洞卖给了第三方，价格是百度SRC报价的十倍。

百度的漏洞为什么这么多？一个做安全的朋友给了我一个很直白的解释：百度的业务线太杂，每个业务线都有自己的开发团队，每个团队都有自己的安全标准。搜索、贴吧、网盘、地图、自动驾驶，这些业务之间的代码复用率极低，安全审计也很难统一。更关键的是，百度的核心收入来自广告，安全投入在内部优先级排序里，从来不是第一梯队。

这跟谷歌形成了鲜明对比。谷歌也有漏洞，但谷歌的漏洞奖励计划是全球最慷慨的之一，一个高危漏洞的奖金可以到3万美元。百度呢？2018年之前，百度SRC的最高奖金是1万人民币。后来涨了，但跟谷歌比还是差了一个数量级。钱少，白帽子自然不愿意花时间帮你找漏洞。找漏洞是个体力活，也是脑力活，没有足够的激励，谁愿意干？

还有一个更隐蔽的问题：百度的很多老系统，是用PHP写的，有些代码可以追溯到2005年。这些代码经过十几年的迭代，早就成了一团乱麻。你改一个地方，可能影响十个地方。安全团队想修，业务团队不敢让修。于是漏洞就一直挂着，直到被人爆出来，才不得不连夜打补丁。

我并不是说百度不重视安全。事实上，百度是国内最早建立SRC的互联网公司之一，比腾讯还早。但重视和做好是两回事。百度的安全团队人数不少，但分散在各个业务线，缺乏一个强有力的中央协调机制。一个漏洞从发现到修复，要走流程、要排期、要等业务方配合。等流程走完，黄花菜都凉了。

最让我感慨的是，百度的漏洞往往不是技术问题，而是态度问题。2016年，有用户发现百度云可以直接通过手机号搜索到他人的共享文件。这个漏洞的逻辑简单到令人发指：百度云把手机号作为了共享文件的索引字段。这意味着，只要你输入一个手机号，就能看到这个号码绑定的百度云账户里所有公开分享的文件。这个设计从一开始就是错的，但没人觉得有问题，直到被曝光。

百度的工程师不笨，他们只是太忙了。忙着做KPI，忙着抢流量，忙着跟字节跳动打仗。安全？那是成本中心，不是利润中心。在百度内部，安全团队的发言权，远不如搜索团队和广告团队。这种结构性的问题，不是修几个漏洞就能解决的。

所以，当你下次看到“百度漏洞”这四个字时，别只盯着那个漏洞本身。它背后是一整套系统性的问题：激励不足、流程冗长、业务优先、历史包袱。这些问题不解决，漏洞就会像韭菜一样，割了一茬又长一茬。