怎样找漏洞

找漏洞这件事，样找漏洞说穿了就是样找漏洞找“没想到”。一个系统跑得再顺，样找漏洞也总有人没考虑到的样找漏洞角落。比如2017年，样找漏洞某款共享单车App的样找漏洞退款接口只校验了用户ID，没校验订单状态。样找漏洞结果有人把已完成的样找漏洞订单反复提交退款请求，每次都能拿到钱。样找漏洞漏洞不在代码多复杂，样找漏洞而在设计时默认了“用户不会这么干”。样找漏洞

想找漏洞，样找漏洞先得学会不按设计者的样找漏洞思路走。正常用户点按钮，样找漏洞你偏要改请求。样找漏洞正常流程走三步，你偏要跳两步。很多漏洞就藏在“跳过”和“重复”里。比如登录时先输用户名再输密码，你试试先输密码再输用户名——有些老系统会直接报数据库错误，把表名和字段名吐出来。这不是玄学，是逻辑顺序被打破后，异常处理没跟上。

输入框是漏洞的富矿。你见过有人往“年龄”里填-1吗？某电商网站就这么干过，填负数年龄能领新人优惠券，因为后台算的是“年龄小于18岁”，负数当然小于18。还有更直接的：往搜索框里塞单引号。如果页面报SQL语法错误，那基本可以确定存在注入点。别觉得这招老土，2023年还有政务系统栽在这上面。

文件上传功能也值得盯。上传头像时，你把文件名改成shell.php.jpg，看看服务器是检查后缀还是检查内容。有些系统只查后缀名，你传个.jpg但内容是一段PHP代码，访问时如果服务器把.jpg当PHP解析，就直接拿到控制权。这招叫“文件包含”，不复杂，但每年都有新案例。

逻辑漏洞比技术漏洞更难防。比如某外卖平台，满30减15。你点一份30元的餐，用优惠券后付15元。然后你申请退款，系统退你30元——因为退款按原价退，不扣优惠券。反复操作几次，平台倒贴钱。这种漏洞没有代码错误，纯粹是业务规则没闭环。找这种漏洞需要你像会计一样对账：钱从哪进，从哪出，中间有没有对不上的地方。

工具能帮忙，但别依赖。Burp Suite抓包改包，sqlmap跑注入，Nmap扫端口，这些是基本功。可真正有意思的漏洞往往在工具扫不到的地方。比如某社交App的“附近的人”功能，你把自己的定位改到沙漠里，再刷新，发现还能看到几公里外的用户——说明服务器没校验定位真实性，只信了客户端传上来的经纬度。工具不会告诉你这个，你得自己琢磨“如果我是开发者，我会在哪偷懒”。

找漏洞的乐趣在于，你永远不知道下一个缺口在哪。可能是验证码不刷新，可能是密码重置令牌可预测，可能是越权访问——把URL里的user_id=123改成user_id=124，就能看到别人的订单。这些事干多了，你看任何系统都会下意识想：这里如果少传一个参数会怎样？那里如果并发请求一百次会怎样？

最后说个真事。某公司内部系统，登录后有个“修改密码”页面。正常流程要输旧密码、新密码、确认新密码。有人发现，把旧密码字段直接删掉，只传新密码，也能改成功。原因是后端只校验了新密码格式，忘了校验旧密码。这个漏洞存在了三年，直到一个实习生手滑删错了字段才发现。你看，漏洞不一定藏在深处，有时就摆在第一行代码里。