漏洞模拟

去年秋天，漏洞模拟我在一个安全实验室里盯着屏幕，漏洞模拟看一段不到二十行的漏洞模拟Python脚本把某款智能门锁的固件更新流程给绕了过去。没有复杂的漏洞模拟缓冲区溢出，也没有精心构造的漏洞模拟ROP链。脚本只是漏洞模拟伪造了一个过期的签名证书，而门锁的漏洞模拟验证逻辑里，有个判断条件写反了——它把“签名不合法”当成了“可以放行”。漏洞模拟

这就是漏洞模拟漏洞模拟最让人着迷的地方。真实世界的漏洞模拟漏洞，往往不是漏洞模拟教科书里那种精巧的数学陷阱，而是漏洞模拟某个程序员凌晨三点改代码时留下的一个逻辑口子。你不需要攻破加密算法，漏洞模拟只需要找到那个“if”后面跟着的漏洞模拟“!=”而不是“==”。

我后来把这段经历讲给一个刚入行的漏洞模拟朋友听。他问我：“那你们做漏洞模拟，是不是就是坐在那儿猜哪里写错了？”

差不多。但“猜”这个字太轻了。更准确的说法是，你得把自己变成那个写代码的人，沿着他的思维路径走一遍，然后在他走神的地方停下来。比如一个电商支付接口，正常流程是：用户提交订单→校验金额→扣款→发货。模拟的时候，我会故意在“校验金额”和“扣款”之间插一个并发请求——如果系统没有加锁，你就能用一块钱买走一万块的东西。这个漏洞在2018年某知名电商平台上真实存在过，后来被一个白帽子用三十行代码复现了。

模拟漏洞不需要你有多深的汇编功底。更多时候，它考验的是你对业务逻辑的理解。我见过一个案例：某医院的挂号系统，前端限制了每个身份证号每天只能挂三个号。但后端接口没有做这个限制。攻击者直接调用API，用同一个身份证号挂了两百个号，然后转手卖给黄牛。这个漏洞的“模拟”过程，就是打开Burp Suite，把前端发出去的请求拦截下来，把身份证号参数改成数组，重复提交。就这么简单。

但简单不等于容易发现。你得有那种“多问一句”的习惯。比如看到“密码重置”功能，正常人想的是“输入邮箱，收验证码，改密码”。我会想：验证码有没有次数限制？验证码和邮箱的绑定关系是在服务端校验的吗？如果我把邮箱参数改成别人的邮箱，验证码会发到谁那里？这三个问题里，只要有一个答案是“没有”或者“不是”，漏洞就出来了。

我自己的经验是，漏洞模拟最有效的工具不是扫描器，而是一张纸和一支笔。把业务流程画成流程图，在每个分支节点上标注“这里如果输入异常值会怎样”。画到第三遍的时候，你往往就能看到那个“不对劲”的地方。去年有个金融App的越权漏洞就是这么找到的——流程图里，“查看账单”和“查看他人账单”共用了一个接口，只是前端传了不同的用户ID。后端没有校验这个ID是否属于当前登录用户。把ID改一下，就能看到别人的消费记录。

当然，模拟出来的漏洞和真实攻击之间还有距离。真实环境里可能有WAF、有频率限制、有日志审计。但模拟的价值在于，它让你在动手之前就知道“这里可能有问题”。就像开锁师傅先拿一张X光片看锁芯结构，而不是直接拿电钻往上怼。

我认识一个做渗透测试的老手，他有个习惯：每次拿到一个新系统，先不碰任何工具，花半小时把登录、注册、找回密码这三个流程手动走一遍，边走边记。他说：“百分之六十的漏洞，在这三个流程里就能摸到。”我试过，确实。有一次我在“找回密码”的第三步——输入新密码——那个页面里，发现它把用户ID写在了隐藏字段里。改成别人的ID，就能重置别人的密码。整个过程没用任何自动化工具，就是点了几下鼠标，改了一个数字。

漏洞模拟不是炫技。它更像是一种思维训练：假设自己是那个偷懒的程序员，假设自己是那个赶进度的产品经理，假设自己是那个觉得“没人会这么输入”的测试人员。然后，你就成了那个“这么输入”的人。