凌晨三点，漏洞网站我盯着屏幕上那个“漏洞网站”的漏洞网站页面，手里的漏洞网站咖啡已经凉透。它看起来和普通电商后台没什么区别——订单列表、漏洞网站用户管理、漏洞网站数据导出，漏洞网站按钮都规规矩矩。漏洞网站可当我随手在搜索框里敲了个单引号，漏洞网站页面直接吐出一串数据库报错，漏洞网站连表名都带出来了。漏洞网站这不是漏洞网站什么高深攻击，就是漏洞网站最原始的SQL注入。我愣了两秒，漏洞网站然后笑了。漏洞网站这网站居然还在线，漏洞网站而且下面挂着三千多条真实订单。

我头一回接触这类站点是五年前。朋友丢来个链接，说“别登录，随便看看”。点进去是个地方论坛，界面土得掉渣，但用户头像能直接右键复制图片地址——把地址里的用户ID改个数字，就能看到别人的私信截图。我当时没想举报，反而花了整个下午翻了几百个ID，像在垃圾堆里捡东西。后来才明白，这种网站不是“有漏洞”，而是漏洞本身就是它的运营模式。开发者压根没把安全当回事，或者更糟，他们靠这个筛人。

去年冬天遇到一个更离谱的。网站叫“XX资源库”，注册要邀请码，但登录后的下载链接是明文HTTP。我抓了个包，把请求里的用户等级参数从1改成9，页面刷新，所有付费资源全部解锁。我没下载，只是截了张图发给客服。对方回得飞快：“亲，这边建议您不要传播哦。”然后封了我IP。三天后再访问，站点换了域名，漏洞原封不动。你看，他们不是修不了，是不想修。修了怎么区分谁是“自己人”？

这类网站有个共同特征：界面粗糙但功能齐全，用户协议写得像免责声明，客服回复永远慢半拍。你问它为什么数据库能直接下载，它说“技术维护中”。你问它为什么密码明文存储，它说“方便找回”。我见过最绝的一个，后台管理页面直接挂在/admin.php，账号密码都是admin。我登进去，发现里面有个txt文件，写着“别删库，其他随便”。

有人觉得这些是“技术爱好者的乐园”，我不这么看。漏洞网站的本质是数据黑市的前置仓。你看到的每个注入点，背后都连着一条拖库、洗库、卖库的流水线。我追踪过一个卖考研资料的站点，它的漏洞允许遍历所有用户手机号。我抽了十条去搜微信，七条能加上，三条头像还是真人。这些人不知道自己被挂在网上，就像你不知道自己家钥匙藏在门口地毯下——而地毯已经被掀开过一百次了。

更荒诞的是修复速度。我报过五个漏洞给不同站点，只有一个回了邮件，说“感谢反馈，已修复”。两周后我复测，那个注入点还在，只是加了个WAF，把单引号过滤了。我换了个双引号编码，照样出数据。这就像给漏水的船贴创可贴，还只贴一半。剩下四个站点，两个直接关站，两个换了域名继续跑。其中一个甚至给我发了推广邮件：“老用户回归，送VIP！”

所以我现在看到“漏洞网站”这四个字，第一反应不是技术，是生意。漏洞是他们的筛选器——能发现漏洞的人要么是潜在客户，要么是潜在威胁。他们赌你懒得举报，赌你好奇，赌你沉默。而大多数时候，他们赌赢了。我写这些不是教人挖洞，是觉得该有人把灯打开。那些数据库里的手机号、地址、聊天记录，不是“数据”，是活人。你改一个参数就能看到的东西，本不该让你看到。

凌晨四点，我关掉那个电商后台，没碰任何数据。截图存进加密文件夹，写了封邮件给CNCERT。然后清空浏览器记录，合上电脑。窗外有辆洒水车经过，音乐是《致爱丽丝》。我想起那个论坛的私信截图里，有个女孩说“明天考试好紧张”。她的头像还在我硬盘里，但我没再打开过。