2023年秋天，泄露漏洞一个叫“DarkBeam”的泄露漏洞账号在黑客论坛上挂出一份数据库，标价800美元。泄露漏洞里面是泄露漏洞某家连锁酒店230万条入住记录——姓名、身份证号、泄露漏洞手机号、泄露漏洞房号、泄露漏洞退房时间。泄露漏洞卖家没用什么高级手段，泄露漏洞只是泄露漏洞写了个脚本，每天对着酒店官网的泄露漏洞预订接口发几千次请求，一个月后，泄露漏洞系统扛不住了，泄露漏洞开始返回不该返回的泄露漏洞数据。

这就是泄露漏洞泄露漏洞。它不需要你攻破防火墙，不需要你破解加密算法，只需要你足够耐心，反复问同一个系统同一个问题，直到它自己说漏嘴。

接口比人诚实

去年我帮一个朋友查他的信息有没有泄露。在某快递公司的查询页面输入手机号，正常会返回“运单号已隐藏”。但把请求里的mask=false改成mask=true，完整运单号直接弹出来。这种参数篡改漏洞，说白了就是开发人员把“要不要隐藏”这个开关交给了前端，后端根本没做校验。

更离谱的是另一家电商平台。用户ID是自增的，从10001开始。我写了个循环，每次把ID加1，请求用户资料接口。前500个请求返回正常，第501个开始返回其他用户的手机号和收货地址。系统没有频率限制，没有权限校验，只要你知道ID的规律，就能把整个用户表拖下来。

这两个案例的共同点是：漏洞不在代码逻辑的复杂处，而在最基础的“信任”上。系统信任了前端传来的参数，信任了用户不会遍历ID，信任了请求频率不会太高。信任一旦被滥用，泄露就发生了。

日志里的秘密

某次安全审计，我在一台服务器上发现了一个/debug目录，没有访问控制。里面是过去三个月的API请求日志，每条记录包含请求参数、响应状态码、响应体大小。翻到第47页，看到一条请求：POST /api/v1/user/export，响应体大小是2.3MB。再往下翻，同样的请求出现了十几次，每次响应体大小都在2MB以上。

这意味着什么？有人找到了一个导出接口，每次调用都会返回大量用户数据。更糟的是，这个接口没有鉴权——只要知道路径，谁都能调。我试了一下，传入user_id=1，返回了管理员的全套资料。传入user_id=2，返回了另一个用户的。没有验证，没有令牌，什么都没有。

开发人员可能觉得“这个接口只有内部系统会调”，所以没加保护。但互联网上没有“内部”这个概念，只要端口开着，路径存在，就有人能找到。

泄露之后

数据一旦泄露，就收不回来了。DarkBeam那份酒店数据，最后被证实是真实的。酒店发了公告，说“已修复漏洞，建议用户修改密码”。但身份证号和手机号改不了，房号改不了，退房时间改不了。这些信息会流入黑产，被用来注册账号、申请贷款、精准诈骗。

我见过一个受害者，他的信息在三个不同的泄露库里出现。第一次是某论坛，第二次是某酒店，第三次是某航空公司。每次泄露后他都会收到诈骗电话，对方能准确说出他的姓名、身份证号、最近一次航班号。他说：“我感觉自己像被扒光了站在街上。”

泄露漏洞的可怕之处在于，它往往不是一次性的。同一个系统，修了A接口的漏洞，B接口还在裸奔。修了B接口，C接口又冒出来。因为问题的根源不是某个具体的代码错误，而是整个开发流程里缺少安全测试。上线前没人检查参数校验，没人测试权限控制，没人限制请求频率。等出事的时候，数据已经在暗网上流通了。

写这篇文章的时候，我又去看了那个酒店官网。预订接口还在，只是加了验证码。但验证码能挡住脚本，挡不住有心人。真正的修复应该是：后端校验所有参数，接口鉴权，频率限制，日志脱敏。这些事做起来不难，难的是有人愿意在“不影响用户体验”和“安全”之间选择后者。

泄露漏洞不会消失。只要还有系统把“信任”当成默认选项，只要还有开发人员觉得“没人会这么干”，数据就会继续泄露。下一个DarkBeam可能已经在写脚本了，而你的系统，可能正在返回不该返回的数据。

(责任编辑：百科)