怎么找到网站漏洞

三年前我帮朋友测试一个电商站，网站后台登录框输了个单引号，漏洞页面直接报出SQL语法错误。网站那一刻我就明白，漏洞找漏洞这事，网站七分靠耐心，漏洞三分靠运气，网站剩下九十分靠的漏洞是“你比开发者更了解他写的代码”。

别急着上扫描器。网站先用手点。漏洞注册、网站登录、漏洞搜索、网站下单，漏洞每个功能都像正常人一样用一遍。网站但你要留意那些不正常的地方——URL里的数字参数能不能改成别的？搜索框输入<script>会不会原样返回？文件上传处如果传个PHP文件会怎样？这些动作看似笨拙，却往往比任何工具都有效。我见过太多人一上来就跑Nessus，扫出一堆中危低危，真正致命的逻辑漏洞却视而不见。

接着看响应头。打开开发者工具，盯住每一个HTTP响应。X-Powered-By泄露了PHP版本，Set-Cookie少了HttpOnly标志，Content-Security-Policy压根不存在——这些细枝末节，拼凑起来就是一张攻击地图。有次我光看响应头里Server: nginx/1.14.0，就去查了对应版本的已知漏洞，五分钟拿下一个测试站。

别忘了翻前端代码。压缩过的JS文件里经常藏着API端点、硬编码密钥甚至内部注释。用浏览器格式化一下，搜索api、token、admin这些关键词。上个月有个众测项目，我在一个混淆过的JS里找到了一个未公开的调试接口，直接绕过支付流程。开发者觉得混淆就万事大吉，其实那只是给漏洞盖了层薄纱。

参数篡改是另一片富矿。把价格改成0.01提交订单，把用户ID换成别人的试试，把role=user改成role=admin。开发者信任了不该信任的输入，这种事每天都在发生。记得有次测试一个社交应用，我把发布动态的请求里is_public字段从1改成0，结果发出来的内容竟然只有自己可见——这不算漏洞，但反着来呢？改成2呢？系统直接报错，泄露了内部堆栈信息。

工具当然要会用。Burp Suite抓包改包是基本功，sqlmap跑注入要会看--level和--risk参数，dirsearch扫目录得懂怎么过滤误报。但工具只是放大器，你的脑子才是漏洞猎人。扫描器报了一堆路径，你得判断哪个值得深挖；sqlmap跑不出东西，你得手动构造闭合语句。那些指望一键扫描就能挖到洞的人，基本都去交低质量报告了。

最后说个反直觉的事：漏洞往往藏在“看起来没问题”的地方。开发者会修那些被报过的漏洞，但不会重构那些“能用就行”的代码。所以去测那些老功能、冷门页面、第三方插件——那里才是漏洞的温床。我挖过最有价值的一个洞，是在一个十年前写的密码重置逻辑里，开发者把验证码存在了URL参数中，任何人复制链接都能重置密码。

找到漏洞的瞬间，你会感觉像在垃圾堆里翻到了金表。但别急着高兴——先确认危害，再写报告，最后复现步骤要写清楚。毕竟，真正的漏洞猎人不是破坏者，而是那个比坏人更早发现门锁坏掉的人。

(责任编辑：热点)