漏洞高手

凌晨三点，漏洞高手我蹲在出租屋的漏洞高手转椅上，屏幕蓝光映着半张脸。漏洞高手键盘上残留着泡面油渍，漏洞高手手指却悬在回车键上方，漏洞高手迟迟不落。漏洞高手

那是漏洞高手个银行系统的漏洞。准确说，漏洞高手是漏洞高手某家城商行手机App的越权访问漏洞——通过修改请求包里的用户ID，可以查看任意客户的漏洞高手姓名、身份证号和最近三笔交易记录。漏洞高手我花了两天时间，漏洞高手从抓包到绕过签名校验，漏洞高手终于走到这一步。漏洞高手

按下回车，漏洞高手漏洞就实锤了。但实锤之后呢？提交给厂商拿个积分？还是写进简历里，等HR问“你有没有利用漏洞干过坏事”？

这行当里，漏洞高手分两种。一种人像猎犬，鼻子贴着代码嗅，专找逻辑漏洞、权限绕过、注入点。他们参加众测，攒排名，换奖金，日子过得体面。另一种人像秃鹫，盘旋在黑产上空，盯的是数据、账号、银行卡。他们不露面，用Telegram匿名交易，一个SQL注入点能卖到六位数。

我见过一个真高手，在甲方做安全工程师，白天帮公司修补漏洞，晚上自己挖0day去暗网卖。他跟我喝过一次酒，说这叫“对冲风险”——公司给的工资是保底，黑市卖漏洞是超额收益。他技术确实强，某大厂云平台的容器逃逸漏洞就是他发现的，但没人知道他的名字，只知道暗网代号“m1k3”。后来他出事了，不是被警察抓的，是被同行举报的。那晚他给我打电话，声音很平静：“早知道就该只做白帽子。”

我没他那么疯。我挖漏洞，更多是图那种“我看见了你没看见的东西”的快感。就像上周，我找到一个开源CMS的存储型XSS，能直接偷管理员Cookie。漏洞本身不难，难的是怎么绕过WAF的过滤规则。我试了十七种编码方式，最后用Unicode全角字符混着换行符才绕过。那种感觉，像在满是警报的迷宫里找到一条没锁的门。

但说实话，漏洞挖得越多，越觉得这行当像走钢丝。你永远不知道手里的漏洞会被谁买走，会被拿去做什么。有些厂商收到漏洞报告后第一反应不是感谢，而是报警——他们默认你是来敲诈的。我有个朋友就栽过，他提交了一个严重的RCE漏洞，结果对方法务直接起诉他“非法侵入计算机信息系统”。官司打了两年，最后判了缓刑。他后来跟我说：“漏洞是真的，人心也是真的，但这两者之间隔着一条法律线，线上是英雄，线下是罪犯。”

我最终没按那个回车键。我关掉Burp Suite，给厂商写了封邮件，附上漏洞描述和修复建议。第二天对方回了句“感谢反馈”，然后就没下文了。连个积分都没给。

但我不后悔。漏洞高手这称号，听起来像武侠小说里的绝顶高手，其实更多时候，你只是深夜里一个对着屏幕皱眉的普通人。你手里握着别人不知道的钥匙，但开哪扇门，往门里走多远，才是真正的考验。

键盘还亮着，我伸了个懒腰，给自己倒了杯凉水。下一个漏洞还在某个系统里等着，但今晚，我想先睡一觉。