《漏洞图片素材》

凌晨两点，漏洞我盯着屏幕上那张风景照发呆。图片照片里的素材雪山轮廓清晰，光线柔和，漏洞怎么看都像是图片一张普通的旅行摄影作品。可就在照片右下角的素材阴影里，藏着一串用十六进制编码写的漏洞字符——那是某个安全研究员故意留下的水印，用来追踪泄露源。图片

这张照片从某个漏洞平台的素材私密仓库流出来，辗转经过三个Telegram群，漏洞最后落在我手里。图片没人知道原始上传者是素材谁，但所有人都明白，漏洞这类图片素材本身就是图片一种武器。

漏洞报告里最值钱的素材部分，从来不是文字描述，而是截图。一张清晰的复现截图能省去三千字的啰嗦解释，直接告诉厂商：你看，你家的系统就这么被我打穿了。但反过来，这些截图也成了攻击者的宝藏。某厂商修复了漏洞后，那份带截图的报告如果没被妥善脱敏，就等于把攻击路径亲手送到下一波人手里。

我见过最离谱的一次，是某大厂的漏洞响应中心把内部工单系统的截图发在了公开公告里，图片没打码，后台地址、数据库表名、甚至管理员的登录IP全露了出来。那帖子挂了整整三天才被删，期间有多少人顺手摸进去逛了一圈，没人知道。

图片素材的诡异之处在于，它比文字更容易让人放松警惕。文字你得逐字读，图片扫一眼就过去了。可偏偏漏洞截图里藏的信息密度极高——URL路径、请求参数、响应头、浏览器版本、系统时间、甚至屏幕分辨率，全都在像素里躺着。一个训练有素的攻击者能在十秒内从一张模糊的报错截图中提取出目标服务器的中间件版本和补丁级别。

还有更阴的玩法。有人专门在漏洞报告里附带精心构造的图片文件，文件名看起来是“login_page.png”，实际却是改了后缀的HTML文档。如果厂商的审核人员习惯直接双击打开图片预览，那浏览器就会默默执行里面的脚本，把审核人员的cookie送到指定服务器。这招叫“图片投毒”，不算高明，但胜在实用。

去年某个众测平台上，有个白帽子提交了一个存储型XSS漏洞。他上传的payload不是常规的script标签，而是一张SVG图片。SVG本质上是XML，里面可以嵌JavaScript。平台审核人员点开图片想确认渲染效果，结果浏览器直接弹了他的本地文件路径。那张SVG图片后来被平台封存，但那位白帽子在报告里附了句备注：“图片比文字诚实。”

这话有点意思。文字可以撒谎，但图片总是暴露太多。你截个登录失败的图，能暴露密码策略；截个报错堆栈，能暴露代码结构；截个服务器响应头，能暴露版本号。每个细节都是碎片，拼起来就是一张完整的攻击地图。

现在有些厂商学聪明了，要求提交漏洞时把图片里的敏感信息手动涂黑。可涂黑本身也是信息——涂黑的长度和位置暗示了隐藏内容的格式和重要性。有些研究员故意只涂一半，留个数字尾巴，让厂商自己猜去。

说到底，漏洞图片素材就像犯罪现场的指纹照片。它既是证据，也是线索，还是下一次犯罪可能用到的工具。关键在于谁在看，以及看的人打算拿它做什么。我保存的那张雪山照片，右下角的十六进制字符解码后是一串时间戳——正好是该厂商发布安全公告前的四小时。

那四小时里发生了什么，只有图片知道。

(责任编辑：娱乐)