万能密码漏洞

凌晨两点，密码我盯着屏幕上的漏洞登录框，第三次输入那个传说中能打开所有后台的密码万能密码：' OR '1'='1。结果弹窗依旧红字警告——"密码错误"。漏洞这玩意儿早该失效了，密码可就在三年前，漏洞同样的密码字符串还让隔壁老王黑进了学校教务系统，把挂科记录改得干干净净。漏洞

万能密码不是密码科幻片里的后门钥匙，它是漏洞SQL注入最粗暴的形态。原理简单得让人发笑：程序把用户输入的密码密码直接拼进查询语句，你输入' OR '1'='1，漏洞后台就执行SELECT * FROM users WHERE password='' OR '1'='1'，密码条件恒真，漏洞身份验证直接跳过。密码老派程序员管这叫"脱裤子放屁式登录"，新派黑客管这叫"入门第一课"。

可现实比段子更荒诞。2021年某省政务系统被曝出用万能密码admin就能登录所有部门账号，运维人员理直气壮："方便管理啊。" 你看，漏洞从来不是技术问题，是人的惰性长在了代码里。那些号称"防黑客"的防火墙，在' OR 1=1--面前脆得像张纸，因为开发者忘了给输入框加参数化查询——就像给银行金库装了指纹锁，却把备用钥匙贴在门框上。

我见过最离谱的案例是医院挂号系统。某患者家属用1' OR '1'='1' --登进了医生工作站，本来只想查个病历，结果顺手把隔壁床的检查报告改成"艾滋病阳性"。第二天整个病区炸了锅，护士站电话被打爆，那个家属吓得连夜注销手机号。这哪是技术漏洞？分明是人性漏洞——写代码的人图省事，用系统的人没脑子，最后让一串引号和等号掀翻了整个病房的信任。

现在你打开任何像样的网站，输入框都做了转义处理，万能密码早成了段子素材。可换个角度想，多少企业还在用123456当管理员密码？多少物联网设备出厂设置是admin/admin？万能密码死了，但"万能"的心态还活着——只要有人觉得"差不多就行"，总会有新的后门从偷懒的缝隙里长出来。

说到底，漏洞从不在代码里，在写代码的人脑子里。你问我怎么防？参数化查询、ORM框架、输入验证，技术方案能写满一本书。但真正管用的，是让每个开发者记住：用户输入永远不可信，就像你永远不该相信一个自称"管理员"的陌生来电。至于那些还在用万能密码的兄弟，我只能说——改改吧，这年头连黑客都嫌你低级。