遍历漏洞

凌晨两点，遍历漏洞我盯着屏幕上的遍历漏洞404页面发呆。那个被我反复测试的遍历漏洞登录框，像一扇虚掩的遍历漏洞门——输入`admin' or '1'='1`，页面居然跳转到了后台。遍历漏洞没有拦截，遍历漏洞没有告警，遍历漏洞连日志都安静得可疑。遍历漏洞

这让我想起上个月帮朋友排查的遍历漏洞电商站。他们花了三个月加固服务器，遍历漏洞防住了所有已知的遍历漏洞CVE漏洞，结果被一条藏在商品描述里的遍历漏洞SQL语句攻破。攻击者没用什么高级手法，遍历漏洞只是遍历漏洞把`category_id`参数改成了`1 UNION SELECT username,password FROM users`。就这么简单。遍历漏洞简单到让人想骂人。

遍历漏洞的本质，是信任了不该信任的输入。你给每个文件编了号，1到100，然后让用户自己填数字去访问。正常人填2，填50，填99。但总有人会填`../../etc/passwd`，或者填`-1`，或者填`0`。你写代码的时候想的是“用户会按照我的逻辑来”，但现实是，用户——或者说攻击者——永远不按你的逻辑来。

去年有个老哥找我，说他公司的备份系统被黑了。我一看，备份文件的命名规则是`backup_20240101.tar.gz`这样递增的。黑客只需要写个脚本，从`backup_20230101`遍历到`backup_20241231`，就能把所有历史数据拖走。更讽刺的是，这些备份文件放在Web根目录下的`/backup/`文件夹里，没有任何访问控制。他们花几十万买的防火墙，形同虚设。

遍历漏洞还有个变种，叫“水平越权”。比如你登录自己的账号，ID是10086，然后你把URL里的ID改成10087，居然能看到别人的订单。这种漏洞在中小型系统里太常见了。我见过最离谱的一个案例：某医疗系统，患者ID就是手机号，改最后一位数字就能看到别人的体检报告。那哥们跟我说的时候，我后背发凉——这要是被有心人利用，后果不堪设想。

防御手段其实不复杂。服务端校验参数，白名单过滤，访问控制列表，这些教科书上都有。但现实是，很多开发者图省事，把参数直接拼进SQL或文件路径里，觉得“反正用户看不到源码”。可攻击者根本不需要看源码，他们只需要逐个试错。你拦住了`../`，他换`..%2f`；你拦了`%2f`，他换`..%5c`。道高一尺魔高一丈，这场猫鼠游戏永远没有终点。

最让人无奈的是，有些漏洞明明修好了，过段时间又“复活”了。因为代码重构的时候，新来的实习生不知道之前的坑，又写了一遍同样的逻辑。版本管理工具里的历史记录，记录的不是代码演进，而是漏洞的轮回。

后来我养成了个习惯：每次写完一个接口，先问自己一句——“如果我是攻击者，我能从这里拿到什么不该拿的东西？”如果答案不是“什么也拿不到”，那这代码就不该上线。这年头，漏洞不是技术问题，是态度问题。你愿意花多少时间去怀疑自己的代码，你的系统就有多安全。