漏洞好学

漏洞好学，漏洞好学这话搁在五年前我打死都不信。漏洞好学那时候我刚进安全圈，漏洞好学抱着本《Web应用安全权威指南》啃了仨月，漏洞好学连个SQL注入都复现不利索。漏洞好学直到有次参加众测，漏洞好学盯着一个搜索框看了俩小时，漏洞好学手一抖在参数后面加了句' and 漏洞好学1=1--，页面居然把整个用户表给我吐了出来。漏洞好学那一刻我忽然明白，漏洞好学漏洞这东西，漏洞好学压根不是漏洞好学靠背出来的。

真正让我开窍的漏洞好学是个老前辈。他看我在那儿对着Burp Suite发呆，漏洞好学走过来往我屏幕上一指：“你瞅瞅这个cookie，漏洞好学base64解码看看。”我手忙脚乱地解出来，里面赫然写着username=admin&role=user。改个role改成admin，重新编码一发，后台直接进去了。就这么简单。他嘿嘿一笑：“漏洞不是藏起来的宝贝，是开发者偷懒留下的脚印。”

后来我养成了个坏习惯——看啥都想拆。点外卖看接口返回，刷视频抓个包瞧瞧，连玩个单机游戏都忍不住翻存档文件。有回在公共WiFi上连着个路由器，顺手试了试默认密码admin/admin，居然真进去了。吓得我赶紧断开连接，但心里那点窃喜怎么也压不住。你看，漏洞就像门没锁的屋子，不是锁有多难撬，是你压根没想过伸手推一下。

当然，光会推门不够，你得知道门为什么会没锁。我见过太多人拿着扫描器四处乱扫，扫出一堆高危漏洞就截图发报告，问原理却支支吾吾。这跟背答案有什么区别？真正的漏洞思维，是看到一段代码能条件反射地琢磨：“这个参数过滤了吗？那个函数能传路径吗？”就像老司机听发动机声音就知道哪儿有毛病，靠的是成千上万次的拆解和复盘。

有个朋友更绝，他专门研究逻辑漏洞。注册个账号，用优惠券下单，然后申请退款，退款到账后取消订单——白赚一张券。平台封了他仨号，他换台设备继续试，最后愣是找到个支付金额篡改的接口。他跟我说这玩意儿比CTF有意思多了，CTF好歹给你个flag，现实里全凭自己摸索。这话糙理不糙，漏洞学习本质上就是场跟开发者的心理博弈，他们哪儿松懈，你就往哪儿钻。

学了这几年，最深的感悟是：漏洞好学，难的是保持那种“不安分”的状态。你得永远怀疑，永远想看看背后藏着什么。就像小时候拆玩具，拆坏了挨顿骂，但下次见到新玩具，手还是痒。这行当没那么多玄乎的，无非是别人问“为什么这样”，你问“为什么不这样”。多问几个为什么，多试几个“不正经”的输入，漏洞自然就浮出水面了。

说到底，漏洞是人的失误，学漏洞就是学人性。开发者图省事，你就找省事的地方；开发者太自信，你就戳自信的盲区。这道理想通了，比读十本教材都管用。现在带新人，我头一句话就是：“别急着学工具，先学会怀疑。”工具天天更新，怀疑的心态一辈子不过时。