WEB漏洞

一个下午，我花40块钱买了个摄像头权限。不是暗网，不是黑客工具，就一个公开的搜索页面，输入IP段，默认密码直接登进去。那是个仓库的监控，画面里两个工人正蹲着抽烟，完全不知道有人在看他们。

这事说来荒唐。那个摄像头用的还是五年前的固件，出厂账号admin，密码admin。厂商早就不更新了，但设备还在卖，还在被装到各种角落。你看，漏洞从来不是突然出现的，它是时间堆出来的——代码写下的那一刻，缺陷就埋好了，只是等着被谁翻出来。

WEB漏洞分很多种，但本质上就一句话：开发者以为用户不会那么干，而用户偏偏那么干了。你写了个输入框，觉得别人会规规矩矩填名字，结果有人往里塞了一段SQL语句，你的数据库就裸奔了。你做了个文件上传功能，想着传个图片就行，结果有人传了个PHP脚本，你的服务器就成了别人的肉鸡。

最讽刺的是XSS漏洞——跨站脚本。攻击者往页面里注入一段JavaScript，其他用户一访问就中招。这玩意儿不偷服务器数据，专偷浏览器里的一切：Cookie、会话、甚至键盘记录。我一个朋友做渗透测试，接了个电商单子，发现商品评论区没过滤，他写了个弹窗脚本贴上去，结果每次有人看那条评论，浏览器就把他购物车里的东西悄悄发到测试服务器。三天，收集了200多个真实用户的购物习惯。他跟我说，这要是恶意攻击，直接改收货地址就行了。

还有更蠢的。有些漏洞不是技术问题，是逻辑问题。比如密码重置功能，你回答密保问题就能改密码。问题是，密保问题往往是"你母亲的名字"——这种信息，翻翻社交账号就知道了。我见过一个银行系统，密保问题是"你小学的名字"，而那个用户朋友圈晒过毕业照，学校名字清清楚楚。

别以为大厂就安全。2023年某知名社交平台曝出API漏洞，攻击者能通过一串数字ID直接遍历所有用户的手机号。不是爆破，不是注入，就是接口设计时没做权限校验。开发者图省事，觉得"没人会闲到逐个ID去试"，结果真有人试了，几百万条数据就这么漏了。

修复漏洞是个博弈。你补上一个洞，攻击者就去找下一个。安全行业有个说法：不是你的系统没漏洞，是你还没发现它。那些公开的CVE编号只是冰山一角，真正的暗流在地下论坛里流动，标着价码，按漏洞的"含金量"交易。

写代码的人总觉得自己考虑周全了，但现实是，你永远猜不到用户会拿你的功能做什么。有人拿搜索框跑字典爆破，有人拿留言板当C2服务器，有人拿图片上传功能当免费图床——顺便把木马藏在EXIF信息里。

所以你看，WEB漏洞不是某个高深的技术名词，它就藏在你每天用的每个页面里。可能是一个没过滤的输入框，可能是一个忘了删的调试接口，可能是一个默认密码没改的摄像头。它一直在那，等着某个无聊的人，或者某个有耐心的人。

那个仓库的监控我后来关了，没干别的。但我知道，下一个搜索IP段的人，可能不会像我这么客气。