凌晨两点十七分，漏洞刷票某选秀投票页面突然涌入三千个新注册账号。漏洞刷票它们像潮水般涌向同一名选手，漏洞刷票每三秒完成一次投票，漏洞刷票持续了整整四十分钟。漏洞刷票后台监控图上，漏洞刷票那条投票曲线笔直向上，漏洞刷票陡得像心电图室里的漏洞刷票直线——只不过这次是死而复生。

技术圈里管这叫“漏洞刷票”，漏洞刷票但更准确的漏洞刷票说法是“薅系统羊毛”。上个月我帮朋友排查一个投票系统，漏洞刷票发现验证码接口根本没校验过期时间。漏洞刷票同一个验证码，漏洞刷票抓包后反复提交，漏洞刷票服务器照单全收。漏洞刷票朋友眼睛都直了：“这写代码的是在给我们发福利？”其实不是福利，是程序员偷懒。他把验证码校验写在JS前端，后端只查了格式对不对。

这种漏洞往往活不过一个晚上。平台方不是傻子，监控到异常流量后，先封IP，再查设备指纹，最后直接人工审核。可刷票的人也不傻，他们用代理池换IP，用模拟器改设备ID，甚至雇真人手工投。道高一尺魔高一丈的拉锯战里，真正决定胜负的不是技术，是成本。

我认识一个专门做刷票工作室的哥们，他摊过一张成本表给我看：服务器租用费一个月八百，代理IP按量计费，最贵的是验证码识别服务——打码平台每千次收费六到八元。算下来，一万票的成本大约在四十块钱左右。他笑着说：“但甲方给的价格是每万票三百。你说这生意能不能做？”

漏洞的本质是信息差。平台方以为自己的规则天衣无缝，刷票的人却在代码注释里找到了后门。有个案例特别典型——某音乐榜单用手机号注册就能投票，但同一号码每天限投五次。刷票团队直接调用了运营商的短信网关接口，批量生成虚拟号段。那晚榜单前十名里，有六个都是凭空捏造的电话号码投出来的。

更讽刺的是，有些漏洞是平台故意留的。去年某直播平台年度盛典，算法工程师偷偷在投票逻辑里加了条“特殊通道”：只要用户单次充值超过五万，就能触发隐藏的十倍票权。这哪是漏洞？分明是给大客户开的VIP后门。可惜被羊毛党发现了，他们用企业账户批量充值，再申请退款，空手套了上千万票权。平台最后只能发公告说是“系统故障”，闭口不提那行被注释掉的代码。

说到底，漏洞刷票拼的不是黑客技术，是人性洞察。投票系统是死的，写代码的人是活的。活人就有疏忽，有私心，有懒得改的旧接口。我见过最狠的一次操作，是有人直接黑了投票页面的CDN节点，篡改了JavaScript文件——所有用户点投票时，其实都在给同一个选手刷票。那个选手的票数一夜暴涨两百万，第二天官方紧急修复时，连后台数据都查不清到底哪些是真票。

你问刷票的人心虚吗？他们不心虚。在他们眼里，规则是用来打破的，系统是用来测试的。就像那个工作室哥们说的：“平台自己留了那么多口子，我们不钻，别人也会钻。这行当拼的就是手速和胆量——你慢一步，漏洞就被别人补上了。”

凌晨四点，投票通道准时关闭。那个被三千个幽灵账号托举的选手，最终以第三名出道。粉丝在超话里欢呼“实至名归”，没人注意到后台日志里那串异常的时间戳。第二天太阳照常升起，工程师默默打了个补丁，把验证码过期时间改成了六十秒。下一个漏洞，已经在别处等着了。