网页爆破

凌晨三点，网页爆破我盯着屏幕上那个不断跳动的网页爆破进度条，它卡在99%已经整整二十分钟了。网页爆破这不是网页爆破下载，是网页爆破爆破——对一个老旧网站后台的暴力破解尝试。

密码字典里最后几万个组合像流水一样滑过。网页爆破服务器没锁，网页爆破没验证码，网页爆破连请求频率都没限制。网页爆破管理员大概觉得没人会对一个卖二手渔具的网页爆破论坛感兴趣。他错了。网页爆破我的网页爆破目标不是渔具，是网页爆破那个藏在后台角落、从未被清理过的网页爆破SQL备份文件。

爆破这行当，网页爆破听起来像黑客电影里的高光时刻，实际上九成时间都在跟蠢笨的系统较劲。真正精妙的漏洞利用是少数，多数时候，你面对的是某个程序员十年前留下的默认口令——admin/admin，或者干脆就是密码明文存在cookie里。这活儿考验的不是技术，是耐心和观察力。

我见过最离谱的一次，目标站点是个地方政务平台。防护措施严得密不透风，WAF、双因素认证、IP白名单，样样齐全。我蹲了三天没找到突破口。第四天，我试着给他们的客服热线打了个电话，冒充系统供应商的技术支持，说需要远程排查一个安全漏洞。对方很客气，给了我一个VPN账号——密码是八个8。进去之后，一切如入无人之境。那天晚上我坐在屏幕前，突然觉得有点荒诞。我们花大价钱修了铜墙铁壁的铁门，却把备用钥匙挂在门口的盆栽底下。

但也有硬骨头。去年碰上一个金融类小平台，代码写得干净利落，参数全部做了预编译，连上传接口都校验了文件头。我试了SQL注入、XSS、目录穿越，全被挡了回来。最后是盯着他们一个导出报表的功能看了两个小时，发现日期参数在服务端拼接后直接进了系统命令。一个分号加一条管道符，shell就弹回来了。那种感觉，像在混凝土墙上找到一条头发丝细的裂缝，然后顺着它撬开了整面墙。

爆破的本质，是对“默认”的质疑。默认配置、默认逻辑、默认信任。大多数人不会去想那个“忘记密码”按钮背后连接的邮件服务器是否可以被伪造，也不会去检查那个看起来无害的图片上传功能，是不是能塞进一个改了扩展名的PHP文件。而爆破者想的恰恰是这些。

进度条终于走到100%。后台的登录界面弹出来，用户名那栏我敲了admin，密码那栏我敲了那个渔具论坛创始人的生日——从公开的论坛周年庆帖子里推算出来的。回车，页面跳转，没有报错。我进去了。备份文件就躺在文件列表的第一行，63MB，下载只用了不到十秒。

关掉终端的时候，天已经蒙蒙亮。我删掉了所有日志，清空了临时文件，像什么都没发生过。那63MB的数据里有什么，我没看。有时候爆破的目的不是内容，而是验证一个假设——这世上所有看似坚固的东西，都留着一条没上锁的后门。