漏洞验证

凌晨两点，漏洞验证我盯着屏幕上那个不断闪烁的漏洞验证红色警告框，手心全是漏洞验证汗。三天前提交的漏洞验证漏洞报告被厂商驳回了，理由是漏洞验证“无法复现”。但我知道那个漏洞是漏洞验证真的——就在刚才，我又用同样的漏洞验证手法打穿了他们的新版本。

漏洞验证这活儿，漏洞验证说白了就是漏洞验证跟厂商玩“我说有鬼，你偏不信”的漏洞验证游戏。你报一个SQL注入，漏洞验证他们先怀疑你用的漏洞验证是不是旧版参数；你报一个越权，他们第一反应是漏洞验证“我们的鉴权逻辑不可能出问题”。最气人的漏洞验证是，有些厂商连复现步骤都不看，漏洞验证直接甩一句“环境差异”就把你打发了。

我吃过一次大亏。去年发现某开源框架的反序列化漏洞，明明在本地环境稳定触发，提交给官方时却怎么也复现不了。后来折腾了整整两周，才发现问题出在Java版本上——他们测试机用的是OpenJDK 11，我本地跑的是Oracle JDK 8，两个版本对`ObjectInputStream`的处理细节有微妙差异。那次之后我学乖了，提交漏洞前必做三件事：写清环境指纹、录屏带时间戳、PoC代码里强制指定依赖版本。

可现实往往比技术更拧巴。有次验证一个逻辑漏洞，需要两个账号配合操作。我申请了测试账号，结果对方给的是生产环境权限，吓得我赶紧把请求里的cookie全部脱敏。更离谱的是，某个厂商的应急响应团队居然要求我提供“漏洞利用的完整日志”，包括我中间调试时打出的所有错误堆栈——这哪是验证漏洞，分明是想连我的攻击手法一起研究透。

说回“无法复现”这件事。我后来总结出一个规律：八成是提交者没写清楚触发条件，剩下两成才是真环境问题。比如时间型盲注，你得告诉人家“延迟5秒以上算成功”，而不是甩个响应包截图就完事。还有些漏洞需要特定用户角色才能触发，你不把权限矩阵画出来，人家拿管理员账号测当然测不出来。

最让我哭笑不得的一次，是在某银行SRC提交了一个越权查看他人订单的漏洞。复现步骤写得清清楚楚：登录A账号→抓包改B账号ID→返回200且带B的地址。结果厂商回复“已验证，但该操作需要登录状态，风险等级判定为低”。我当时就想拍桌子——合着登录用户就能随便看别人隐私，这还不算高危？后来我学精了，提交时直接附上《网络安全法》相关条款，再配上利用链分析，证明能进一步打到后台。

现在我做漏洞验证，随身带个“三件套”：Docker镜像（保证环境一致）、Burp Collaborator（外带数据证明）、还有一份自己写的checklist。每步操作都截图存档，连请求时间都精确到毫秒。不是我不信任厂商，实在是被“无法复现”坑怕了——你永远不知道对面测试员会用什么姿势打开你的PoC。

漏洞验证这事儿，表面上是技术博弈，其实是信任博弈。你证明的不仅是一个bug存在，还得证明自己不是瞎报、不是恶意攻击、更不是来骗赏金的。所以每次提交报告，我都把话说到最死：环境变量、依赖版本、操作序列、预期结果、实际结果，全列成表格。哪怕这样，偶尔还是会收到“建议使用我们提供的测试环境”这种回复。

但换个角度想，厂商也不容易。每天收几百份漏洞报告，其中混着大量扫描器误报和低质量提交，不谨慎点怎么行。有次我帮朋友验证一个CMS的XSS，发现他报的payload根本没闭合标签，难怪人家不认。所以现在我遇到“无法复现”的第一个反应不是骂厂商，而是回头检查自己的复现步骤是不是漏了什么细节。

前几天那个被驳回的漏洞，我重新打包了完整环境，用vagrant一键起虚拟机，连数据库初始化脚本都写好了。这次厂商没话说，当天就确认了漏洞并给了致谢。你看，漏洞验证到最后，拼的不是谁技术更炫，而是谁更愿意把“证明过程”做到极致。