如何找一个网站的漏洞

去年有个朋友让我帮他看看公司官网有没有漏洞。何找我打开页面，个网看了五分钟，漏洞发现登录框没做频率限制——用Burp Suite跑个字典，何找每秒能试几百个密码。个网他脸色变了。漏洞这不是何找什么高深技术，纯粹是个网开发时忘了加个验证码。

找漏洞这件事，漏洞大部分人想复杂了。何找你不需要一上来就啃二进制、个网挖0day。漏洞真实世界里，何找八成以上的个网漏洞来自三件事：配置疏忽、输入没过滤、漏洞权限没管好。下面按我实际干活的顺序说。

先摸清楚目标长什么样

打开网站，别急着点。先看URL结构。?id=123这种参数是明摆着的入口。再看用的什么技术——浏览器F12，看响应头里Server字段，看有没有X-Powered-By。WordPress、ThinkPHP、Spring Boot，各有各的已知问题。知道框架版本，直接去搜对应CVE，有时候五分钟就能找到利用脚本。

子域名也别放过。admin.example.com、test.example.com、dev.example.com——这些测试环境往往防护最弱，甚至数据库直接暴露在外。用subfinder或amass扫一遍，经常有惊喜。

手动测输入点

所有你能输入的地方都是嫌疑对象。搜索框、登录表单、URL参数、HTTP头里的User-Agent、Referer。先试单引号'，看报不报SQL错误。再试，看能不能弹窗。这两个动作花不了三十秒，但能筛掉一大半没做过滤的站。

有个细节：别只盯着GET参数。POST的JSON体、Cookie里的值、甚至文件上传的文件名，都是注入点。我见过一个站，URL过滤得严严实实，但X-Forwarded-For头直接拼进SQL查询，改个头就能注入。

看逻辑，别只看技术

技术漏洞扫一遍就那些。逻辑漏洞才要命。比如密码重置功能——发送验证码后，服务端是不是只校验了验证码对不对，没校验这个验证码是不是发给当前用户的？把手机号改成自己的，验证码填自己的，能不能重置别人的密码？

再比如订单支付。把价格参数从100改成1，服务端是重新从数据库读价格，还是信任前端传过来的值？很多电商站栽在这上面。这类问题扫描器扫不出来，得靠人脑走一遍业务流程。

工具要用，但别依赖

Burp Suite的Intruder模块跑目录爆破，sqlmap自动注入，nmap扫端口——这些是基本功。但工具报出来的“漏洞”经常是误报。sqlmap说存在注入，实际可能是页面内容变化导致的假阳性。手动验证一遍，别直接把报告交上去。

另外，别在没授权的情况下测别人的站。robots.txt里写着Disallow的路径，不代表你可以随便扫。法律风险是真实的，我见过有人扫政府网站被请去喝茶。

最后说个反直觉的

最容易被忽略的漏洞往往在“没人看的地方”。一个三年前离职员工留下的后台接口，一个忘了删的.git目录，一个备份文件www.zip放在根目录下。用dirsearch扫一遍常见路径，比挖SQL注入快得多。我帮人做应急响应时，十次里有三次是备份文件泄露导致的源码暴露。

找漏洞不是炫技。它更像检查一栋房子的门窗——大部分时候你只需要推一推，看哪扇没锁。