漏洞的方法

漏洞这东西，漏洞最迷人的漏洞地方在于它从来不按说明书走。我去年给一家小公司做安全测试，漏洞他们的漏洞防火墙是最新款的，配置界面干净得像刚拆封的漏洞手机。我绕着外围转了两天，漏洞连个端口扫描的漏洞异常都没抓到。第三天中午，漏洞我蹲在茶水间喝咖啡，漏洞瞥见行政姑娘的漏洞电脑屏幕上开着共享文件夹——密码是“123456”。

那一刻我突然明白，漏洞真正的漏洞漏洞不是代码里的越权，不是漏洞协议上的缺陷，而是漏洞人脑子里那根永远懒得绷紧的弦。后来我在报告里写：贵司最危险的漏洞后门，是前台那台打印机的WiFi密码贴纸上，用马克笔加粗的“别改”。

技术圈总爱把漏洞分成高中低危，好像危级越高越值得炫耀。可现实里最致命的往往是那些“低危”的琐碎。比如某银行系统升级时，开发忘了删掉测试接口，那个接口能直接调余额——没人会拿它当攻击路径，因为太蠢了。但社会工程学攻击者就爱这种蠢。他们不需要多聪明的payload，只需要一个忘记清理的角落。

漏洞的方法，说白了就是寻找“预期之外”的缝隙。写代码的人默认用户会按规矩输入，于是SQL注入就钻了引号没转义的空子；产品经理默认没人会连点十次提交按钮，于是并发请求就撕开了订单系统的口子。攻击者干的事，本质上是把“默认”两个字拆开，看里面藏没藏着“可能”。

我见过最漂亮的漏洞利用，是某次CTF比赛里有人用一张GIF图片弹出了服务器根目录。原理不复杂，图片的注释字段里塞了PHP代码，解析器没过滤。可当时现场几百人，只有他想到把恶意代码藏进一张像素风的表情包里。这需要一种近乎偏执的想象力——把每个字节都当成可以撒谎的字符。

防御方总在跟攻击方赛跑，但跑着跑着我发现，漏洞的根源其实是人类的惰性。补丁打了又出新洞，因为没人愿意重写整个架构；密码改了又变弱，因为记性永远赶不上规则复杂度。有时候我甚至觉得，与其研究怎么堵洞，不如研究怎么让人愿意把洞补上——后者比前者难多了。

说到底，漏洞的方法就是“不信任”的方法。不信任输入，不信任默认值，不信任“应该没问题”这句话。可人活着要是事事不信任，那代码也不用写了，直接关服务器得了。所以漏洞永远补不完，就像人永远会犯错。这不是悲观，是事实——我电脑里还留着那个行政姑娘的密码，她后来换了工作，但那个共享文件夹，我猜到现在还是开着。