2017年，通过一个朋友给我发来某电商网站的源码商品页链接，说价格贵得离谱。进行叫我随手按了F12，渗透发现价格参数直接写在JavaScript变量里，通过改一下数字，源码前端立刻显示0.01元。进行叫当然，渗透提交订单时服务器端还会校验，通过但那一刻我意识到，源码源码里藏着的进行叫秘密远比想象中多。这种通过查看网页、渗透应用或系统源代码来寻找漏洞、通过获取敏感信息，源码进而实施渗透的进行叫行为，在安全圈里有个专门的叫法——源码泄露利用，或者更宽泛地说，属于白盒渗透测试的范畴。但严格来讲，它没有一个像“SQL注入”那样全球统一的术语，更多时候被归入信息收集和源代码审计的交叉地带。

为什么叫法这么模糊？因为“查看源码”本身不是攻击手法，而是获取情报的手段。你查看的是前端HTML里的注释、JavaScript里的API密钥、后端返回的报错堆栈、甚至Git仓库意外暴露的`.git`目录。去年某政务系统被拿下，起因就是运维把`.svn`文件夹留在了生产环境，攻击者用`svn-extractor`直接还原了整站源码，数据库密码明文躺在配置文件里。这个过程，你说是“源码泄露利用”没错，说是“信息泄露渗透”也行，但圈内人更爱用黑话：捡漏。捡的是开发人员随手丢在源码里的钥匙。

我见过最离谱的案例，是一个金融App的H5页面。反编译前端包后，发现硬编码了阿里云AccessKey，权限还是读写整个OSS桶。攻击者根本不需要什么高深漏洞，直接调API就把用户身份证照片全下载了。这算渗透吗？算，但手法太“低级”，以至于很多渗透报告里会把它归为“配置错误”而非“源码渗透”。可你不得不承认，查看源码就是那把最安静的钥匙。它不触发WAF，不留下异常流量，甚至不需要发送一个恶意请求——只要浏览器能打开页面，你就能在开发者工具里翻个底朝天。

有人把这种渗透叫“白盒测试”，我觉得不准确。白盒测试是你能拿到完整源码在本地审计，而通过查看源码渗透，往往是在黑盒环境下，利用源码泄露的碎片拼出攻击路径。比如一个登录接口，前端JS里写了加密逻辑，你逆向后发现盐值是固定的，那就可以批量撞库。再比如，HTML注释里留着测试账号`test/123456`，运维忘了删。这些细节，扫描器扫不出来，只有人眼盯着源码才能发现。所以它更像一种手工情报驱动的渗透，依赖耐心和直觉。

工具方面，Chrome DevTools只是入门。老手会用`Waybackurls`查历史页面，用`gau`抓取所有已知URL，再配合`LinkFinder`从JS里提取接口。我习惯用`JSFinder`扫一遍目标域名下的所有JS文件，经常能捞出未授权的API端点。有一次，某在线教育平台的学生端JS里暴露了教师端接口`/api/teacher/exportAllStudents`，没有任何权限校验。直接访问，几万条学生信息到手。这种漏洞，你说是“越权”还是“源码泄露”？都对，但根子上是源码没做好隔离。

法律上，这事很敏感。查看源码本身不违法——浏览器按F12是标准功能。但利用源码里的信息去未授权访问，就踩线了。我认识一个白帽子，他习惯先看源码，发现漏洞后立刻提交SRC，从不越界。他的原话是：“源码是地图，不是武器。你拿着地图进别人家院子，照样算私闯民宅。”所以，通过查看源码进行渗透，准确叫法应该是基于源码情报的渗透测试，前提是你有授权。没授权？那叫踩点，离进去只差一步。

最后说个真事。某次攻防演练，目标是一个后台系统。登录页面的JS里有一段注释掉的代码：`// TODO: remove hardcoded admin token before prod`。下面跟着一串Base64。解码后是`admin:token_2023`。直接拿这个token调接口，拿到了管理员权限。整个过程没输密码，没爆破，没注入。就看了一眼源码。事后复盘，开发说那是临时调试用的，忘了删。你看，源码渗透有时候就这么简单，简单到让人觉得荒诞。但荒诞背后，是无数个“忘了删”堆出来的真实风险。