去年某高校教务系统被拖库，网络两万多名学生的安全身份证号、家庭住址、毕业甚至家长联系方式全被打包挂在暗网上卖。设计攻击者没用什么高级0day，论文就是网络拿一个未授权的API接口，配合弱口令爆破进去的安全。这件事让我意识到，毕业很多毕设论文写“基于深度学习的设计入侵检测”，但真正该被检测的论文，是网络开发阶段就埋下的低级漏洞。

我的安全毕设选了个不讨巧的方向：针对校园网Web应用的自动化漏洞扫描与修复建议生成。说白了，毕业就是设计写个工具，让它替管理员跑一遍常见漏洞，论文再给出能直接抄的修补代码。导师一开始嫌“创新性不足”，但我给他看了三组数据——某省127所高校官网，41%存在SQL注入点，68%的登录接口没有速率限制，23%的后台路径直接写在robots.txt里。他沉默了十秒，说“做吧”。

工具核心分三块。爬虫模块用Scrapy改写，重点抓表单和URL参数，但加了个笨办法：模拟浏览器点击所有按钮，包括那些藏在JavaScript里的“删除”“导出”链接。很多扫描器漏掉这类接口，因为它们是动态生成的。我抓到一个案例：某学院成绩查询页，点“打印”按钮会触发一个未鉴权的PDF生成接口，直接返回全年级成绩单。这个漏洞在三次人工渗透测试中都没被发现。

漏洞检测模块没上机器学习。规则库加启发式判断够用了：SQL注入用时间盲注和报错注入双验证，XSS检测反射型和存储型分开处理，CSRF检查Token是否存在且绑定会话。有个细节值得说——很多工具只检测GET参数，但我在测试中发现，某选课系统的退课操作是POST请求，参数里带了个course_id，直接改数字就能退掉别人的课。这种逻辑漏洞靠特征匹配抓不到，得靠参数遍历和响应差异对比。

修复建议生成是最麻烦的部分。不能只丢一句“请过滤特殊字符”，得给出具体代码。我的做法是：对每个漏洞类型预置三套修复模板（PHP、Java、Python），再根据扫描到的服务器指纹自动匹配。比如检测到X-Powered-By是PHP/7.4，就推送PDO预处理语句的示例；如果是Spring Boot，就推@Valid注解和全局异常处理。测试阶段，我把报告发给三个学校的信息中心，两个回复说“照着改了”，一个说“代码片段比我们外包公司写得清楚”。

工具跑完一轮全校扫描平均耗时47分钟，误报率控制在12%左右。误报主要来自自定义过滤规则——有些系统自己写了WAF，但规则写得太糙，把正常查询也拦了。我在报告里专门加了“误报分析”章节，把每个可疑点的人工验证截图贴上去。答辩时老师问“为什么不用商用扫描器”，我说商用工具的报告是给安全工程师看的，我的报告是给写代码的人看的。他们需要知道“哪一行改什么”，而不是“存在高危漏洞”。

最后说个观察。做毕设期间我翻了近五年CNKI上网络安全方向的本科论文，大概六成在跑公开数据集，用KDD99或CICIDS2017训练模型，准确率刷到99%以上。但问他们“这个模型怎么部署到真实校园网”，回答基本是“未来工作”。我的工具很土，没有神经网络，没有注意力机制，但至少能跑在真实环境里，能输出让管理员直接动手的修复方案。安全这行，落地比指标重要。

(责任编辑：热点)