转漏洞的转漏转写“转”，不是转漏转写写出来的，是转漏转写试出来的。我见过太多人抱着代码库啃三天，转漏转写不如一个刚毕业的转漏转写小孩拿Fuzzer乱砸半小时。你问怎么写？转漏转写先把“写”这个念头丢掉。

真正的转漏转写转漏洞，第一步是转漏转写复现。不是转漏转写看报告里那一行“存在堆溢出”，而是转漏转写自己把崩溃现场抓回来。Windows的转漏转写dump，Linux的转漏转写core，或者干脆是转漏转写安卓的tombstone。你得盯着那个崩溃地址发呆，转漏转写像老刑警看案发现场照片。转漏转写偏移量对不上？栈回溯被优化掉了？那就别急着写，先改编译选项，关掉PIE，关掉ASLR，把环境调成傻子都能看穿的状态。这一步枯燥得要命，但九成的人死在这儿——不是不会，是没耐心。

复现之后，才是“转”的起点。这里有个反直觉的规则：漏洞的入口往往不是漏洞本身。举个例子，某个浏览器漏洞出在JavaScript引擎的数组越界，但真正能稳定利用的入口，可能在CSS的解析器里。你得像个贼，不走正门，绕到隔壁翻窗户。我去年挖一个Linux内核的UAF，原始触发条件要竞争两个线程，成功率不到1%。转了半天，最后是把race窗口拉长——怎么拉？在中间插一个耗时的`copy_to_user`，让另一个线程卡在page fault里。你看，这哪是写漏洞，这是写调度器。

真正动手写exploit的时候，记住一个铁律：别信任何假设。你猜堆布局是连续的？打印出来看。你猜某个偏移正好放函数指针？用gdb改掉试试。我见过最蠢的错误，是有人照着CVE的PoC改了个目标版本，结果人家用的glibc是2.27，他机器上是2.35，堆块结构全变了，他还在那调偏移量。调了一晚上，第二天问我为什么崩。我说你把`malloc_usable_size`打出来看看，他打了，然后沉默了。转漏洞不是写诗，是修表，差一个齿都不转。

至于那些说“要深入理解底层原理”的，我劝你少听。理解原理是事后总结用的，不是事前指导用的。你真正需要的是两样东西：一个能随时打断点、看内存的调试器，和一个能生成畸形输入的脚本框架。原理是给答辩用的，实战里，你只需要知道“这地方可能越界”和“那地方有个函数指针”就够了。剩下的，全是肌肉记忆。

最后说个玄的。转漏洞转多了，你会对“边界”产生病态的敏感。别人看`if (len > 10)`，你看到的是“len等于11会发生什么”。别人看`memcpy(dst, src, n)`，你脑子里自动跳出“如果n是负数会怎样”。这种敏感没法教，只能靠一次次crash喂出来。所以，别问怎么写，去写。写不出来就砸调试器，砸完再写。等你某天凌晨三点，对着屏幕上一串精心构造的十六进制，按下回车，看着shell弹出来——那时候你自然知道“转”字怎么写了。