抓包漏洞

凌晨两点，抓包漏洞我盯着Burp Suite里那个拦截到的抓包漏洞POST请求，手边的抓包漏洞咖啡已经凉透了。参数`uid=1001`后面跟着的抓包漏洞`role=user`，就这么明晃晃地躺在那里。抓包漏洞我把它改成`role=admin`，抓包漏洞转发，抓包漏洞页面刷新后后台管理入口出现了。抓包漏洞就这么简单。抓包漏洞

抓包漏洞——说白了就是抓包漏洞攻击者能截获、篡改客户端与服务器之间传输的抓包漏洞数据。这玩意儿不挑平台，抓包漏洞不挑语言，抓包漏洞只要是抓包漏洞走HTTP/S的，基本都逃不开。抓包漏洞你手机点个外卖，App把订单金额发给服务器，中间那串数据包，就是攻击者的画布。改个价格，改个数量，改个收货地址，服务器傻乎乎地全盘接收，连问都不问一声。

去年帮朋友看一个电商站，前端把商品总价算好了塞进隐藏域，后端直接读这个值去扣款。我随手抓个包，把总价改成0.01元，下单，支付，快递真就发货了。朋友脸都绿了，我说这不算什么，更蠢的我都见过——有人把用户ID放Cookie里，你改成管理员的ID，登录状态直接变成管理员。这哪是漏洞，这是后端开发把门钥匙挂在了门框上。

抓包漏洞的根子，在于开发者默认客户端是可信的。浏览器里的JavaScript能改，手机App能反编译，连命令行curl都能模拟请求。服务器只认数据包内容，不认数据包来源，那这信任就太廉价了。真正该做的是在服务端重新校验一切关键参数——金额、数量、权限、状态，凡是涉及钱和权的，都得二次确认。前端那些显示层的东西，改了就该被无视。

有些公司上了WAF，加了HTTPS，以为就安全了。可HTTPS只保证传输过程中没人偷看，到了服务器端，数据包还是原样解析。抓包工具装上证书，照样能解密HTTPS流量，照样能改参数。WAF能拦SQL注入、拦XSS，但拦不住正常业务逻辑里的畸形参数——因为那看起来就是个正常请求，只是数值不太正常罢了。

别以为这是小概率事件。黑产圈子里，抓包改价、改积分、刷优惠券，是入门第一课。有些专门做“羊毛党”的，一天能靠这个赚几千。你平台搞个满减活动，规则里写了“每人限领一次”，可后端没校验用户唯一性，人家抓包换个ID就能无限领。等你发现亏空，钱早被提走了。

修这种漏洞，说难也不难。核心就一条：服务端绝不信任任何来自客户端的敏感数据。价格、折扣、库存、权限，全部在服务端重新计算或复核。用户身份用session或签名token，别放Cookie里裸奔。关键操作加个随机token防篡改，改了就失效。再狠一点，对异常请求做频率限制和风控——同一个IP一分钟内下单十次且金额都是0.01，这正常吗？该直接封。

技术层面其实就这些。但真正麻烦的是人的意识。很多后端开发图省事，前端传啥就信啥，测试时也只用正常流程走一遍，压根没想过有人会拿工具拆开数据包看。等到被薅秃了，才慌慌张张打补丁。这行当里，懒和侥幸，比任何黑客都致命。

下次你写接口的时候，多问自己一句：如果这个参数被用户改了，会发生什么？想清楚这个，抓包漏洞基本就堵死大半了。