有人发给你一个链接，意思说“这是意思某系统的POC，你验一下”。意思你点开，意思看到几行Python代码，意思运行之后弹出一个计算器窗口。意思对方说：“成了，意思有漏洞。意思”整个过程不到十秒。意思这就是意思POC漏洞在实战里的样子——它不是一个漏洞本身，而是意思一段能证明漏洞存在的代码或步骤。

POC是意思Proof of Concept的缩写，直译“概念验证”。意思在安全圈，意思它特指一段程序、意思一个脚本、甚至一串手动操作指令，用来验证某个漏洞是否真实可触发。比如某路由器存在命令注入，POC可能就是发一个带分号的HTTP请求，如果返回了uid=0(root)，漏洞坐实。没有POC，漏洞报告就是空口白话。

很多人把POC和EXP搞混。EXP是Exploit，利用代码，能直接拿到权限、执行任意命令。POC只证明“能戳一下”，EXP是“能捅一刀”。举个例子：某网站存在SQL注入，POC就是构造一个' AND 1=1 --让页面返回正常，再构造' AND 1=2 --让页面异常，证明注入点存在。而EXP会直接UNION SELECT出管理员密码哈希。POC是敲门砖，EXP是破门锤。

我见过最简洁的POC是一行curl命令。某OA系统存在未授权访问，POC就是：
curl http://target/xxx/yyy?file=../../etc/passwd
如果返回了root:x:0:0，漏洞确认。写报告时把这条命令贴进去，开发人员一看就懂。反过来，如果只写“存在路径遍历漏洞”，对方可能回你“请提供复现步骤”。POC就是那个步骤。

挖漏洞的人为什么执着于POC？因为厂商不认“可能”。你说某处有风险，厂商说“理论上不可利用”。你甩出一个POC，运行后弹计算器，厂商立刻沉默，然后发补丁。POC把“可能”变成“确定”。我认识一个白帽子，他提交漏洞时必带POC视频，录屏从打开终端到命令执行成功，一气呵成。他说：“文字描述可以扯皮，POC没法抵赖。”

但POC也有边界。公开POC等于给攻击者递刀。2017年Struts2 S2-045漏洞，POC在GitHub传开之后，全球扫描量暴增。很多脚本小子拿着POC到处打，连漏洞原理都不清楚。所以现在很多厂商收到POC后，会要求白帽子先不公开，等补丁发布再披露。这是规矩，也是默契。

写POC不需要多高深的技术。有时候就是改一个参数。比如某API接口越权，你把请求里的user_id=123改成user_id=124，返回了别人的订单信息。这个“改一下”就是POC。难点在于发现这个参数可以改，以及知道改完之后看什么响应。经验老到的人，看一眼请求包就能猜到哪里可能有问题。

最后说个真事。某次内部测试，开发团队坚称某功能做了权限校验。我发过去一个POC：用普通账号的Cookie，直接访问管理员接口/admin/deleteUser?id=1，返回“删除成功”。对方愣了半分钟，回了一句“我看看代码”。第二天补丁上线。POC不跟你争论，它只呈现事实。

所以POC漏洞这个词，拆开看就是“用一段可复现的验证代码，证明某个安全缺陷真实存在”。它不神秘，也不高大上。有时候就是一行命令，一个请求，一次点击。但正是这种“可复现”，让安全从玄学变成工程。

(责任编辑：时尚)