如何挖掘漏洞

```html

一个登录框，何挖输入 ' OR 1=1 --，掘漏页面直接跳进后台。何挖这是掘漏我第一次亲手摸到漏洞。那年我读大二，何挖在图书馆用校园网测学校官网，掘漏心跳快得能听见。何挖漏洞挖掘没那么神秘，掘漏本质就是何挖找“程序没按你预期运行”的地方。

先讲清楚一件事：漏洞不是掘漏“创造”出来的，是何挖“发现”的。代码是掘漏人写的，配置是何挖人调的，逻辑是掘漏人设计的，只要有人参与，何挖就有疏忽。你要做的不是发明攻击，而是比开发者多想一步——他们假设用户会规规矩矩输入，你就偏不。

从输入点开始摸

每个能输入的地方都是入口。URL 参数、表单字段、HTTP 头、Cookie、文件上传、API 接口。我习惯先扔几个特殊字符进去：单引号、双引号、尖括号、反斜杠、%00。看返回什么。报错信息里带 SQL 语法？大概率有注入。尖括号被原样输出？试试 XSS。路径里加 ../ 能读到 /etc/passwd？目录穿越没跑。

有个笨但有效的办法：把 Burp Suite 挂上，打开代理，把网站所有功能点一遍。登录、注册、搜索、评论、上传、改密码、下单。每个请求都记下来。然后挑那些参数多的、返回内容长的、涉及数据库查询的，逐个改参数值。改数字、改字符串、改类型、删参数、加参数、重复参数。看响应差异。

逻辑漏洞比技术漏洞更肥

SQL 注入、XSS 这些有人扫，逻辑漏洞没人管。我见过一个电商站，优惠券可以无限领——把 coupon_id=123 改成 coupon_id=124，领完再改回来，重复提交。还有密码重置，验证码校验完不销毁，同一个验证码能改任意用户密码。这类漏洞扫描器扫不出来，得靠人脑推演业务流程。

怎么推？把自己当成产品经理，画流程图。注册→登录→改密码→下单→支付→退款。每一步问自己：如果跳过前一步直接做后一步呢？如果并发做两次呢？如果改掉请求里的用户 ID 呢？如果金额改成负数呢？我靠“金额改成 0.01 元”这种手法，在一个支付接口上白嫖过测试环境的一箱饮料。

工具是拐杖，不是腿

nmap 扫端口，dirsearch 扫目录，sqlmap 跑注入，xray 被动扫。这些我都会用，但从不依赖。工具报的“疑似漏洞”十有八九是误报，真正能打的漏洞往往藏在工具规则之外。比如一个文件下载接口，参数是 filename=report.pdf。工具只会测路径穿越，但你把 filename 改成 ../../../../etc/passwd 没反应——因为后端做了白名单。可你改成 report.pdf%00../../etc/passwd 呢？截断绕过。这种技巧工具不会自动试。

还有 HTTP 请求走私、JWT 算法混淆、OAuth 重定向劫持。这些漏洞的挖掘过程更像解谜。你得读 RFC 文档，看框架源码，甚至自己搭环境复现。我为了搞懂 JWT 的 alg=none 攻击，把 PyJWT 的源码翻了一遍，发现它早期版本确实不校验签名算法。这种知识不是扫出来的，是啃出来的。

别碰没授权的目标

最后说句实在的。挖漏洞和入侵是两码事。没拿到书面授权，别去测任何不属于你的系统。我见过有人扫了某政府网站，被请去喝茶。合法的路径很多：SRC 平台、众测项目、自己搭靶场（DVWA、Pikachu、Vulhub）。我在本地用 Docker 跑了几十个漏洞环境，随便折腾，不怕出事。

漏洞挖掘的乐趣在于“原来还能这样”。每次绕过验证、每次读到不该读的数据、每次让程序执行了不该执行的命令，那种快感跟解出一道数学压轴题一样。但记住：能力越大，越要知道边界在哪。