一个晴朗的黑客何下午，安全研究员陈师傅在调试自家路由器固件时，现漏随手输入了一串超长字符串。黑客何屏幕闪了一下，现漏系统崩溃了。黑客何他愣了两秒，现漏然后笑了——这不叫故障，黑客何这叫入口。现漏

黑客找漏洞的黑客何第一件事，从来不是现漏“攻击”，而是黑客何“看”。看什么？现漏看输入点。凡是黑客何程序会接收外部数据的地方，都可能藏雷。现漏URL参数、黑客何表单字段、上传文件、JSON报文、甚至一个不起眼的HTTP头——这些是攻击面。陈师傅后来跟我说，他每次拿到新目标，先花几个小时翻文档、点按钮、抓包，把每个能塞数据的地方都标出来。这个过程像在墙上找裂缝，不用锤子敲，光看就能看出门道。

但光看不够，还得喂。漏洞的本质是程序对异常输入的反应失控。最常见的套路是“越界”——你给它一个比预期长的东西，它没拦住，内存里就溢出，溢出可能改写关键数据。另一种是“注入”——你给它一段特殊语法，它没区分数据和代码，SQL就变味了。还有“逻辑绕过”，不碰内存也不碰语法，纯粹利用业务流程的漏洞，比如改个金额参数为负数，购物车反而倒贴钱。

真正的技术活在于怎么“猜”出那些输入。高手不会瞎试，他们脑子里装着大量模式库。看到搜索框，第一反应是试XSS；看到文件下载，立刻想到路径穿越；遇到登录接口，条件反射般测暴力破解和弱口令。有个老白帽告诉我，他靠一个技巧吃遍天：把所有数字参数都改成负数、零、超大数、浮点数，光这一招就挖出过十几个越权漏洞。程序员写代码时很少考虑负数情况，可攻击者偏偏就爱给负数。

自动化工具能加速，但替代不了直觉。Fuzzing（模糊测试）会随机生成乱七八糟的数据砸向程序，看谁先崩。可真正的漏洞往往需要“精心构造的乱”，而不是纯粹的随机。比如某个开源库的解析器，常规fuzz跑了几天都没事，换了个懂行的人，手工构造一个嵌套了十层括号的畸形输入，瞬间触发崩溃。那种感觉，他说，像在沙子里淘到一粒金——大部分时间都在筛沙子。

挖到崩溃只是开始，关键要判断能否利用。崩溃发生在哪里？能否控制崩溃后的数据？有没有防护机制拦着？现代系统的安全措施越来越厚——地址随机化、栈保护、沙箱隔离——让很多老漏洞形同虚设。但攻防永远在赛跑。攻击者会找那些没开保护的第三方库，或者利用信息泄露绕过随机化。陈师傅有次花了两周时间，就为了确认一个崩溃点能否被精确控制成代码执行，最后发现差一个字节的距离，功亏一篑。他说那种挫败感，比挖不到漏洞还难受。

也有走野路子的。有人专门盯着程序员留下的后门——比如测试接口没删，或者调试参数没关。有个案例，某大厂内部系统被黑，原因竟是开发者把数据库密码写在GitHub公开仓库里，还起了个文件名叫“config_final_v3.php”。黑客顺着Google搜“password”就找到了。这不算高明，但管用。

漏洞发现说到底是个概率游戏。目标越大、代码越复杂、逻辑越绕，漏洞就越多。Windows和Linux内核每年爆出几十个严重缺陷，而一个小众的PHP脚本反而可能几年都无人问津。攻击者会挑软柿子捏，所以很多黑客专门研究那些用的人多、但维护者少的开源组件——一个没人审计的代码库，就是一座金矿。

最后说句实在话。绝大多数漏洞不是天才灵光一闪挖出来的，而是靠耐心、重复和一点点偏执。把同一个接口测上几百遍，把每个参数都翻来覆去地改，把报错信息逐行读透——这些枯燥的动作积累起来，才换来那一下崩溃的闪烁。黑客和普通人的区别，可能就在于他们看见崩溃时，第一反应不是重启，而是问一句：为什么？