“哈哈漫画”的哈哈登录页做得相当鸡贼。表面上看是漫画免费漫画个普通的漫画平台入口，输入账号密码，登录点击登录，页面然后跳转到漫画书架——但如果你把页面源码拉出来看，入口会发现那个“免费漫画入口”的渗透按钮背后，藏着一串被注释掉的哈哈iframe代码。这玩意儿指向的漫画免费漫画地址，前缀不是登录https，而是页面一个裸IP加8080端口。

我是入口在凌晨两点发现这个的。当时手头有个测试项目需要抓取漫画站的渗透数据，随手点开哈哈漫画的哈哈登录页想看看它的验证机制，结果F12一按，漫画免费漫画网络标签页里跳出来个奇怪的登录请求——它在页面加载后的第3秒，悄悄向那个IP发送了一个POST包，payload里带着一串base64编码的字符串。解码出来是“/api/user/info?debug=1”。

这不是正常的漫画平台行为。正常平台登录后只会请求用户书架和推荐位，不会主动去请求一个调试接口。我试着把那个iframe的注释去掉，直接访问那个IP，页面竟然弹出了一个后台管理登录框——不是漫画后台，是服务器运维面板。账号密码框旁边没有验证码，没有二次认证，就这么赤裸裸地敞着。

更离谱的是，这个面板的默认密码居然是“admin123”。我试了三次，第四次进去了。进去之后看到的不是漫画数据库，而是一个SSH终端模拟器，上面运行着几条定时任务——每半小时向一个海外服务器同步一次用户登录日志。也就是说，你在哈哈漫画上输入的每一个账号密码，都会被原样转发到那个海外IP。

这事儿有意思的地方在于，哈哈漫画的登录页本身做得挺像样的，有滑块验证，有短信登录，甚至还有人脸识别选项。但所有的安全措施都集中在“入口”上，入口后面那道门却连个门闩都没有。我翻了下他们的代码注释，发现开发者在2023年11月留了句话：“TODO：上线前移除debug接口，别忘。”显然，他们忘了。

那个海外IP我查了下，属于一家注册在荷兰的虚拟主机商。里面存着的日志文件按日期命名，最早的可以追溯到2022年6月。我随便打开一份，里面躺着几百条明文密码，格式是“用户名——密码——登录时间”，连哈希都没做。有个用户叫“漫迷小张”，密码是“zhang123456”，登录时间是昨晚11点47分——他大概以为自己在看免费漫画，其实他的密码早就被当成商品打包了。

我后来把这事儿反馈给了哈哈漫画的客服邮箱，三天后收到一封自动回复，说“您的反馈已记录”。那个后台入口到现在还开着，iframe注释还在，默认密码也还能用。也许他们觉得没人会注意到那个被注释掉的代码，也许他们根本不在乎。反正对用户来说，登录页上那个“免费漫画入口”的按钮，看起来和昨天没什么两样。