漏洞检测工程师

凌晨两点，漏洞李鸣盯着屏幕上一闪而过的检测异常返回包，手指在键盘上敲下最后一个验证命令。工程三秒后，漏洞他确认了一个价值六位数的检测远程代码执行漏洞——就在某款月活过亿的App里。他没笑，工程只是漏洞把利用链完整记录下来，然后提交给厂商的检测SRC平台。这是工程他本月挖到的第七个高危漏洞，奖金够付一套小城市房子的漏洞首付，但此刻他更关心的检测是：那个漏洞的补丁，厂商什么时候能推。工程

漏洞检测工程师，漏洞听起来像是检测一份“找茬”的工作。事实也差不多。工程我们每天干的事，就是在别人写好的代码、配好的系统、搭好的网络里，翻找那些开发者没想到、测试没覆盖、运维没注意的缺陷。这些缺陷可能是一行没过滤的用户输入，一个配置错误的权限开关，或者一段从GitHub上抄来却忘了改的加密逻辑。

这行当分很多种。有人专门做渗透测试，模拟黑客攻击客户授权范围内的系统，交一份报告完事；有人泡在二进制里，用IDA Pro和Fuzzer跟闭源软件死磕；还有人盯着开源组件，比如Log4j那种核弹级漏洞，一爆出来就得连夜分析影响面。李鸣属于第三种，主攻Web和移动端。他有个习惯：每拿到一个新目标，先不急着上扫描器，而是手动点一遍所有功能，看请求、看响应、看JS里的接口路径。“自动化工具能扫出30%的问题，剩下70%藏在业务逻辑里。”他说这话时，正用Burp Suite的Repeater模块反复修改一个订单ID，试图越权查看别人的收货地址。

干这行需要一种特殊的耐心。一个漏洞可能藏在几千行代码的某个分支里，触发条件苛刻到需要同时满足三个请求头、两个Cookie值和一个特定时间戳。李鸣曾经为了复现一个SSRF漏洞，连续四天调代理、改DNS、抓包分析，最后发现是某中间件解析URL时把`@`符号当成了用户信息分隔符。他把过程写成博客，底下有人评论：“这玩意儿谁会想到？”他回：“攻击者会。”

收入差距极大。刚入行的脚本小子，只会跑Nessus和AWVS，月薪可能不到一万。但能独立挖0day、写利用工具、做红队评估的，年薪百万不稀奇。李鸣认识一个专攻浏览器漏洞的哥们，一年只交三个漏洞，每个都是Chrome或Safari的沙箱逃逸，厂商奖金加黑市报价，够在二线城市全款买房。不过那哥们每天工作14小时，头发掉了一半。“值不值？”李鸣说，“看他想要什么。我想要的是——早上醒来，发现昨晚提交的漏洞被厂商确认了，那种感觉比钱爽。”

厂商的态度也在变。五年前，很多公司收到漏洞报告第一反应是发律师函。现在，连传统制造业都开始建SRC，哪怕只给点积分和T恤。李鸣遇到过最离谱的回复：某金融App的漏洞被确认后，厂商问他能不能把报告撤了，因为“领导觉得丢人”。他拒绝了。三个月后，那个漏洞在野被利用，用户数据泄露上了新闻。厂商又来找他，这次是求他帮忙做应急响应。

工具在进化，AI也进来了。有些团队开始用大模型辅助审计代码，自动生成PoC。李鸣试过，效果一般。“AI能找出明显的SQL注入，但看不懂业务逻辑里的权限绕过。”他更担心的是另一件事：越来越多年轻人以为会用几个工具就能叫漏洞检测工程师。“差远了。你得懂HTTP协议、懂数据库、懂操作系统、懂编译原理，还得懂人——开发者为什么会犯这个错。”

凌晨四点，李鸣终于把漏洞报告写完。他关掉电脑，窗外天还没亮。手机震了一下，是厂商安全响应中心发来的消息：“漏洞已确认，评级高危，奖金将在三个工作日内发放。”他看了一眼，没回。躺下前，他脑子里已经在想下一个目标了——某个新上线的物联网平台，固件里可能藏着硬编码密钥。这行没有终点，因为代码永远有漏洞，而人，永远会犯错。

最新评论