网站渗透性

凌晨三点，网站我盯着屏幕上那个输入框。渗透它看起来人畜无害，网站一个标准的渗透搜索栏，灰色边框，网站白色背景，渗透里面写着“请输入关键词”。网站我随手输入了一个单引号，渗透点击搜索。网站页面刷新，渗透弹出一行刺眼的网站SQL错误。那一刻，渗透我知道这个网站的网站门没锁。

这不是渗透什么高深的技巧。真正的网站渗透测试，很多时候就是在这种看似无聊的试探中开始的。那个单引号就像一把万能钥匙的坯子，能不能磨成真正的钥匙，取决于后续的每一步。我花了二十分钟，用各种编码方式绕过了它的过滤规则，最终在登录接口里注入了恶意语句。后台管理员的密码哈希值，就那样安静地躺在返回数据里。

网站管理员总以为防火墙能挡住一切。可他们忘了，防火墙后面站着的，是写代码的人。人都会犯错。有一次我测试一个政务网站，发现它的文件上传功能居然没限制文件类型。我传了一个伪装成jpg的PHP脚本上去，服务器直接执行了。整个过程不到五分钟。那网站的数据中心里存着几十万公民的身份证复印件。

渗透测试最迷人的地方在于，它是一场不对等的博弈。防守方要堵住所有漏洞，而进攻方只需要找到一个缺口。我见过用“123456”做管理员密码的银行内部系统，也见过把数据库备份文件放在web根目录下的电商平台。这些不是技术问题，是态度问题。安全从来不是买一套设备就能解决的，它得渗进每个开发者的日常习惯里。

有一次，我接到一个客户的委托，测试他们的新APP。常规手段全试过了，毫无收获。那天下午我有点烦躁，随手把手机连上他们公司的访客WiFi，然后打开了APP。奇迹发生了——APP居然通过明文HTTP传输用户的登录凭证。我坐在他们公司一楼大厅的沙发上，用抓包工具看着来往人群的账号密码像流水一样划过屏幕。那个开发团队肯定花了大价钱做代码加固，却忽略了最基础的传输加密。

这些事例说出来，很多人会觉得骇人听闻。但事实是，互联网上每分钟都有成千上万的扫描器在自动寻找脆弱目标。你的网站可能不是被黑客盯上的，而是被程序随机扫到的。区别只是运气好坏。我见过那些被攻破后手足无措的企业，也见过提前做了渗透测试、把漏洞修补得干干净净的团队。后者往往在事故发生后还能泡杯咖啡，慢悠悠地看日志。

渗透测试不是炫技，它更像一场定期的身体检查。查出问题的时候会疼，但总比晚期才发现强。技术本身没有善恶，关键看拿它干什么。我每次拿到授权才动手，测完就写报告，漏洞描述、复现步骤、修复建议，一项项列清楚。有些甲方看完报告会沉默很久，然后问我：“真的这么容易就能进来？”我说：“是的，而且比你想象的更容易。”

那个凌晨发现的SQL注入漏洞，最后被我写进了报告。修复它只需要在代码里加两行参数化查询。可就是这两行代码，能挡住无数个像我一样深夜试探的人。安全这行当，干久了会有点悲观——永远有修不完的漏洞，永远有更聪明的攻击方式。但每次看到那些认真修复漏洞的开发者，我又觉得，这扇门虽然漏风，但至少有人在想着怎么把它关严实。