打漏洞

凌晨三点，打漏洞老张的打漏洞团队还在会议室里盯着屏幕。那是打漏洞一个电商平台的支付接口，白天刚上线的打漏洞新版本，晚上就被人刷走了十七万。打漏洞不是打漏洞黑客电影里那种炫酷的攻防，就是打漏洞最简单的手法——优惠券叠加逻辑没写对，一个人用脚本反复领券、打漏洞下单、打漏洞退款，打漏洞循环了几百次。打漏洞老张说，打漏洞这叫“业务逻辑漏洞”，打漏洞比SQL注入还难防，打漏洞因为代码本身没报错，打漏洞数据库也没异常，钱就是没了。

打漏洞这件事，外行看热闹，内行看的是“规则缝隙”。我见过一个更离谱的案例。某在线教育平台做活动，邀请新用户注册送三天VIP。规则写的是“每邀请一位新用户得三天”，但没限制邀请自己。结果有人用十个邮箱注册，互相邀请，硬生生刷出了一年的会员。技术团队复盘时发现，风控系统只拦截了IP频次，没识别账号关联。漏洞不在代码层，在业务设计层。

很多人以为打漏洞就是找代码里的Bug。其实分两种：一种是技术型，比如缓冲区溢出、越权访问；另一种是逻辑型，像上面说的那些。技术型漏洞有工具能扫，逻辑型全靠人脑去推演。你得把自己当成产品经理，把整个流程走一遍，再当成攻击者，把每一步的“假设”都推翻。比如，系统假设用户会按正常顺序操作，那你就试试乱序；系统假设参数是整数，那你就传个负数；系统假设优惠券只能用一次，那你就并发请求一百次。

我认识一个做安全测试的姑娘，她的方法很土但有效。每接一个项目，先拿纸画流程图，每个节点旁边写“如果这里不按预期走会怎样”。有次她测一个退款功能，发现退款金额可以改。正常流程是退订单全额，但接口没校验，她把退款金额改成比订单金额大，居然通过了。那次她没继续操作，直接报了漏洞。她说，打漏洞的底线是“证明它能被利用”，不是“把它利用完”。

企业这边呢，往往是被打疼了才重视。老张那十七万追回来一半，剩下的因为对方用的是境外虚拟卡，不了了之。后来他们招了专职的安全工程师，每周做一次逻辑漏洞评审。但大多数中小公司没这个预算。一个做SaaS的朋友跟我说，他们上线新功能前，会让开发、测试、运营各出一个人，花半小时专门“找茬”。不写代码，就对着需求文档吵架。吵着吵着，漏洞就出来了。

说到底，打漏洞是场成本博弈。攻击者找一条路，成本可能只是一台电脑和几天时间；防守方要堵所有路，得养团队、买设备、改架构。但有些漏洞根本不用高级技术，就是细心。比如密码重置链接里带用户ID，改一下就能重置别人的密码——这种问题，写代码时多想一步就能避免。可惜，赶进度的时候，没人愿意多想那一步。

凌晨五点，老张关掉屏幕，说了句：“下次上线前，先让运营的人来点一遍。”这话听着不技术，但挺对。漏洞往往藏在“以为没问题”的地方，而打漏洞的人，就是专门去戳那些“以为”的。