一个上传点，漏洞三十秒拿shell。有点这不是多黑洞电影桥段，是客编上周某CMS实战演练里的真实一幕。文件上传接口只在前端校验了后缀名，程漏后端拿到文件直接扔进web目录，漏洞连MIME类型都没查。有点我传了个.php.jpg，多黑洞服务器照单全收，客编菜刀一连，程漏权限到手。漏洞开发这个功能的有点人大概觉得"没人会绕过前端"，可攻击者从来不走正门。多黑洞

漏洞这东西，客编写代码的程漏人总觉得离自己很远。我见过一个做了八年Java后端的哥们，信誓旦旦说他的系统"绝对没有SQL注入"，因为他全用了MyBatis的#{ }占位符。结果呢？有个功能需要动态排序，他图省事用了${ }拼接，订单列表的orderBy参数直接来自URL。我加了个单引号，报错页面把数据库版本都吐出来了。他盯着屏幕愣了半天，说了句"这地方我当初测过啊"。测过，但只测了正常参数。

编程漏洞的根子往往不在技术难度，而在开发者的思维盲区。前端验证等于没验证，这是老生常谈，可每天还是有新系统栽在这上面。更隐蔽的是逻辑漏洞——某电商平台的优惠券接口，领券请求里有个couponId参数，我把它改成负数，系统不但没报错，反而给我账户加了一笔钱。负数金额在业务层没有被校验，直接进了数据库的decimal字段。这种漏洞扫描器扫不出来，得靠人蹲在那儿一点点试。

缓冲区溢出听起来像C语言时代的老古董，但去年某物联网摄像头固件里照样存在。一个处理HTTP请求的strcpy，没检查Content-Length，我发了个超长header，设备直接重启，串口日志里能看到栈被覆盖的痕迹。厂商的补丁拖了四个月才发，期间这批设备在公网上裸奔。嵌入式开发的人手紧，安全审计基本靠自觉，自觉这东西最不靠谱。

反序列化漏洞这两年特别热闹。Java的readObject、PHP的unserialize、Python的pickle，每个都是能直接拿权限的大家伙。我分析过一个Struts2的案例，攻击者构造的OGNL表达式藏在Content-Type头里，服务器解析时触发远程命令执行。修复方案是升级版本，但很多企业系统卡在旧版本上动不了，因为业务代码和框架耦合太深，升一个版本要改几百个地方。安全团队催，开发团队拖，最后漏洞就挂在那儿，像颗没拆的雷。

说回文件上传。我见过最离谱的修复方式：把黑名单里的php、jsp、asp全列了一遍，然后上线了。攻击者传了个phtml，照样解析。黑名单永远漏，白名单才是正道，可白名单又容易误伤业务。有个做网盘的朋友，白名单只允许jpg和png，结果用户上传的合同扫描件是tiff格式，全被拒了，客服电话被打爆。安全与体验的平衡，从来不是技术问题，是取舍问题。

代码审计做多了会发现，很多漏洞是复制粘贴带来的。一个安全的工具类，被不同项目组拷来拷去，某个组改了其中一行，引入了个注入点，其他组浑然不知。Git历史里能看到这个工具类被fork了十七次，每次都有细微差异。版本管理管住了代码，管不住人的手。

写代码的人得明白一件事：你写的每个输入点，都是攻击者的入口。别信前端，别信内网，别信"用户不会那么干"。用户确实不会，但攻击者会。他们有的是时间，有的是工具，而你只有一个 deadline。漏洞有点多，不是因为技术太难，是因为写代码的时候，我们总假设世界是善意的。