网站漏洞挖掘

某电商平台在促销日当天被薅走两百万。网站挖掘不是漏洞黑客炫技，是网站挖掘有人发现结算接口能重复提交优惠券。开发团队盯着日志看了三小时——请求参数里的漏洞`user_id`根本没参与校验。这活儿不需要多高深的网站挖掘技术，漏洞挖掘最核心的漏洞真相是：攻击者永远在找“开发者想当然”的那个缝隙。

我见过太多人把漏洞挖掘等同于跑扫描器。网站挖掘Nessus扫完一片红就觉得自己是漏洞安全专家了？真实场景里，漏洞往往藏在业务逻辑的网站挖掘褶皱里。比如某后台管理系统，漏洞管理员密码重置链接只验证邮箱是网站挖掘否存在于数据库，不验证是漏洞否属于当前会话——你猜怎么着，往`email`字段塞个已知员工的网站挖掘邮箱，就能直接改他的漏洞密码。这种问题，网站挖掘扫描器连影子都摸不着。

换个角度说，挖掘漏洞更像是在跟开发者的思维惯性玩捉迷藏。他们写`WHERE id = 1`时默认这是安全查询，却忘了`id`可能来自URL参数且未做类型约束。SQL注入能存活二十年，不是因为程序员无知，而是因为“信任输入”这个习惯太根深蒂固。我上周测一个政府网站，发现搜索框对单引号做了转义，但双引号直接进了数据库——他们只防了最经典的攻击样本，没防变体。

还有个常被忽略的维度：时间差。某SaaS平台的文件上传功能，前端限制了图片格式，后端却只检查了Content-Type头。攻击者用Burp改个包就能传PHP webshell。更讽刺的是，这个漏洞在测试环境存在了四个月，因为安全测试通常在发布前才做，而上传功能是迭代中途加的。漏洞挖掘最有效的时机不是上线后，而是每次代码变更的那一周内——攻击者盯着diff日志，比你更勤快。

说点个人经验吧。我习惯先看登录、注册、密码找回这三个模块，它们涉及状态切换，最容易出逻辑错乱。其次是导出功能，CSV注入和越权下载往往藏在这里。别一上来就翻源码，黑盒测试里，把每个参数都改成“不可能的值”——比如把数量改成负数，把ID改成别人的，把步骤顺序颠倒——往往能撞出惊喜。

工具当然要用。但sqlmap跑不出业务漏洞，Burp的Intruder也替代不了人工思考。我认识一个老白帽，他的“工具”就是浏览器开发者工具和记事本，靠手动改包找到了某银行App的越权漏洞，能查看任意客户的交易流水。那漏洞后来被CNVD收录，评分9.1。他说的一句话我记到现在：“漏洞不是找出来的，是‘试’出来的——每个参数都当它是恶意的，每个响应都怀疑它泄了密。”

最后提醒一句：挖到漏洞别急着炫耀。先确认影响范围，再写清楚复现步骤，提交时附上修复建议。很多人栽在报告写得稀烂，厂商压根看不懂你在说啥。漏洞挖掘的终点不是发现，是让漏洞真正被关上。