我花了一个下午，网站挖掘盯着那个搜索框发呆。漏洞参数是思路 `?id=1`，页面老老实实地显示着“产品编号：1，网站挖掘名称：螺丝钉”。漏洞我输入 `?思路id=1'`，页面报错，网站挖掘数据库类型、漏洞字段顺序，思路全吐出来了。网站挖掘这漏洞挖得毫无技术含量，漏洞但很多网站就是思路这么被打穿的。

漏洞挖掘的网站挖掘起点，从来不是漏洞什么高深莫测的0day。是思路看开发者有没有偷懒。偷懒的人喜欢把用户输入直接拼进SQL语句，偷懒的人喜欢用`$_GET['page']`去include一个文件，偷懒的人觉得“反正后台没人知道”就不设访问控制。你要做的，就是顺着这些懒惰的痕迹摸过去。

先看参数。每个`?`后面的东西都是入口，`id`、`page`、`action`、`file`、`url`，这些词出现得越频繁，越值得试探。别急着上sqlmap，先手动丢几个单引号、双引号、尖括号进去，看页面反应是“500”还是“空白”还是“原样返回”。反应越异常，后面越有戏。有一次我测一个下载功能，参数是`?filename=report.pdf`，改成`?filename=../../../etc/passwd`，居然真把文件内容下载下来了。开发者只过滤了`../`，没过滤`....//`，这种绕过，纯靠细心。

再摸认证。很多系统的漏洞不在前台，在那些“登录后可见”的接口上。你注册个普通账号，抓包看请求，把`role=user`改成`role=admin`，把`user_id=123`改成`user_id=1`，服务器如果没校验，你就直接提权了。这种水平越权的漏洞，在老旧ERP系统里一抓一大把。前阵子帮朋友看一个内部管理系统，登录后有个“个人信息”接口，返回的JSON里带了个`"is_admin": false`，我改成true发回去，页面立刻多出了“用户管理”菜单。就这么简单，整个系统的用户数据全暴露了。

别忽略那些“非功能性”页面。错误页面、404页面、帮助文档、导出Excel功能，这些地方往往藏着真实路径和内部IP。有一次我盯着一个报错页面看了半天，它把服务器绝对路径打印出来了，`/var/www/html/admin/includes/db.php`，顺着这个路径猜，直接访问`/admin/includes/db.php.bak`，居然下载到了数据库备份。文件没删干净，备份文件就躺在web目录下，这种事儿比想象中的多。

还有那些“接口文档”。现在前后端分离，很多公司把swagger文档直接挂在公网，`/swagger-ui.html`、`/v2/api-docs`，只要没做访问控制，整个API结构、参数格式、甚至测试账号都明明白白摆在那儿。我见过一个金融类App的后台，swagger文档里直接写着“测试环境管理员账号：admin/123456”，而这个接口在生产环境也能调通。开发者图省事，把测试配置带上了生产，这就是漏洞。

挖到后面你会发现，漏洞不是“找”出来的，是“比”出来的。对比正常请求和异常请求的差异，对比不同用户的权限返回，对比开发文档和实际行为。任何不一致的地方，都可能是突破口。有个老前辈跟我说过一句话，我一直记着：“网站漏洞挖掘，七分靠信息收集，两分靠逻辑推理，一分才靠工具跑。”工具只是帮你扩大攻击面，真正决定成败的，是你对业务逻辑的理解有多深。你越懂开发者怎么想，就越容易找到他哪儿没想到。