2017年春天，开展漏洞我蹲在出租屋的开展漏洞折叠桌前，盯着屏幕上跳动的开展漏洞光标。那是开展漏洞我第一次尝试向某漏洞平台提交报告，目标是开展漏洞一个地方政务系统的登录接口。问题很简单：验证码在客户端生成，开展漏洞服务端只校验字符串是开展漏洞否相等。把验证码字段改成固定值"0000"，开展漏洞再发一次请求，开展漏洞直接进了后台。开展漏洞整个过程不到二十分钟，开展漏洞没有工具，开展漏洞没有扫描器，开展漏洞就靠浏览器开发者工具和一点耐心。开展漏洞

这个漏洞后来被评了中危，开展漏洞奖金三百块。钱不多，但那种感觉很奇怪——你发现了一扇没锁的门，而门后面站着几百个毫不知情的用户。政务系统里存着企业注册信息、法人身份证号、甚至部分社保数据。如果我不提交，这些数据可能在某天被批量拖走，挂在某个论坛上按条卖。

很多人以为漏洞挖掘需要高深技术。其实大部分真实案例靠的是对业务逻辑的理解和一点"不守规矩"的好奇心。去年有个电商平台的优惠券系统，我注册两个账号，A账号领券后分享给B，B领取时抓包，把券ID改成A已经用过的另一张券。系统只校验了券的状态是"未使用"，没校验这张券是否属于当前用户。结果就是一张券能反复用，直到我手动停手。这个漏洞我提交后，平台修复用了两周，期间我账户里多了几十张零元购订单——当然，我一张都没用。

漏洞挖掘最怕的不是技术不够，是"想当然"。看到某个参数是数字，就默认它只能是数字；看到某个接口需要登录，就默认它一定校验了权限。实际上，很多系统在开发阶段为了赶进度，会把权限校验放在前端，后端接口裸奔。我见过一个在线教育平台，课程视频的播放地址直接写在页面源码里，把"试看"改成"完整"就能看全片。这种漏洞不需要任何工具，右键查看源代码就能发现。

但提交漏洞这件事，本身也有风险。国内法律对"未经授权访问计算机信息系统"有明确界定，哪怕你只是点了一下链接，没有造成破坏，也可能被认定为非法侵入。我认识一个白帽子，发现某医院挂号系统存在SQL注入，他提交给平台后，医院方面直接报警。虽然最后因为情节轻微没被起诉，但被叫去问话、写保证书、折腾了三个月。所以现在我做测试前，会先确认目标是否在漏洞平台的授权范围内，或者有没有公开的漏洞赏金计划。没有授权，再大的漏洞我也不碰。

另一个现实问题是，很多厂商对漏洞报告的态度很敷衍。你辛辛苦苦写了几页报告，附上复现步骤和修复建议，对方回一句"已知晓，感谢反馈"，然后就没有下文了。过几个月你再去看，漏洞还在。更离谱的是，有些厂商会反过来质疑你"是不是想敲诈"。我现在的习惯是，提交前先录屏，把整个复现过程完整记录下来，包括时间戳和网络请求。这不是为了防厂商，是为了保护自己。

漏洞挖掘说到底是一种思维方式：不信任任何输入，不假设任何边界，不放过任何异常。这种思维放在生活里也挺好用。比如看到某个App要求读取通讯录，我会想——它真的需要吗？不给权限能不能用？大部分时候，答案是不需要，也能用。这跟找漏洞是一个道理：多问一句"为什么"，往往就能发现那扇没锁的门。