渗透博客

凌晨两点，渗透博客我盯着屏幕上的渗透博客十六进制转储，咖啡杯沿积了一圈褐渍。渗透博客那个博客后台的渗透博客登录框还在那儿，像一扇虚掩的渗透博客门，等着谁去推一把——但真正让我后背发凉的渗透博客，不是渗透博客密码爆破的进度条，而是渗透博客它居然运行着2013年的WordPress版本，插件列表里躺着三个已知漏洞。渗透博客

我干这行快七年了。渗透博客说白了，渗透博客渗透测试就是渗透博客拿客户的网站当靶场，合法地“闯空门”。渗透博客但博客这东西不一样，渗透博客它太私人了。渗透博客我接过一个活儿，目标是个美食博主的站，粉丝几十万，后台存着三千多封读者来信，有些附了家庭住址和手机号。她以为只要密码够长就没事，可问题出在服务器上——那台老掉牙的CentOS 6，连SSH都允许root直接登录。

第一次尝试，我用了SQL注入。别笑，老方法往往最管用。她的搜索框没做参数过滤，我往URL里塞了个单引号，页面直接吐出一行数据库错误。那一刻我甚至有点失望——这就像用一根铁丝撬开了银行金库，而门锁锈得掉渣。我顺着报错信息摸进了phpMyAdmin，看到了用户表，密码哈希是MD5加盐，弱得很，三十秒就解开了。

但真正让我停下来的，是她博客的草稿箱。里面有篇没发布的文章，标题叫《我为什么不再更新了》。内容写她收到过辱骂私信，有人拿她照片P成遗照贴评论区，她报警了，但平台客服只会复制粘贴“我们会尽快处理”。那篇文章最后一段是：“其实我知道，那个黑我网站的人可能就住在我隔壁城市，他每天来我博客看更新，像在监视我。”我盯着这段话看了很久，然后关掉了SQLmap，把她的密码重置成随机串，加了双因素认证，顺手修补了那个注入点。

后来我跟项目经理说，这单我不收钱。他问我是不是发现重大漏洞了，我说不是，就是觉得这活儿没意思。他没追问，但我知道他懂——有些渗透像解剖尸体，冷冰冰的；可博客是活的，里面住着一个人的喜怒哀乐。你攻破它，就像掀开别人家的窗帘往里看，哪怕你是被授权的，那种窥视感也让人恶心。

当然，也有反过来的例子。上个月我给自己博客做安全测试，发现一个XSS漏洞——评论框没过滤富文本，能往页面里注入脚本。我本可以自己悄悄修了，但故意留了两天，然后在后台日志里看到有人尝试弹窗alert(1)，失败了三次。那个IP来自某个小城市，浏览器是Chrome 49，系统还是Windows 7。我猜是个自学黑客的少年，拿我博客练手呢。我没封他，反而写了篇《如何修复你这个XSS漏洞》的教程，结尾加了句“下次换个新浏览器吧”。

博客这东西，本质上是个数字日记本。渗透它，要么为了钱，要么为了名，要么就是纯粹手痒。可你真正深入进去，会发现每个漏洞背后都是个活人——她可能刚失恋，他可能刚失业，有人用博客记录抗癌日记，有人在后台悄悄写遗书。我见过太多安全报告，冷冰冰地列着“高危、中危、低危”，却没人写“这个用户怕黑，她每晚十一点准时更新，因为那时候孩子睡着了”。

所以现在我做渗透，总会多看一眼后台的草稿箱、私信列表、甚至主题设置里的自定义CSS——那里面往往藏着比漏洞更有意思的东西。技术是死的，人是活的。你攻破一个博客，技术上赢了，但如果你没读懂那个写博客的人，你就只是个会敲键盘的贼而已。