渗透白盒

渗透测试里最容易被忽视的渗透白盒一环，是渗透白盒白盒。黑盒测试像蒙眼拆弹，渗透白盒靠直觉和经验摸索；白盒测试则是渗透白盒把炸弹的图纸摊在桌上，连螺丝拧了几圈都看得一清二楚。渗透白盒很多人觉得白盒太“作弊”，渗透白盒不够真实——但攻击者从来不跟你讲规则，渗透白盒他们手里往往就攥着源码、渗透白盒配置文件和内部文档。渗透白盒

我第一次真正体会到白盒的渗透白盒杀伤力，是渗透白盒在一个电商项目上。当时黑盒扫了两周，渗透白盒只挖出几个无关痛痒的渗透白盒反射型XSS。后来拿到源码仓库权限，渗透白盒打开pom.xml一看，渗透白盒某个依赖包版本号停在2.14.1，那是Fastjson出过反序列化漏洞的版本。再翻到OrderController，有个接口直接把JSON.parseObject的Feature.SupportAutoType给开了。黑盒根本猜不到这个入口，因为路径藏在/api/v2/internal/order/sync下面，网关层还做了IP白名单——但白名单里有一台机器，恰好是测试环境遗留的跳板机。三天后，我们拿到了订单服务的RCE。

白盒的核心不是“看代码”，而是“对账”。把设计文档、代码实现、运行时配置三者摆在一起，找它们互相矛盾的地方。比如文档说“用户上传文件只允许jpg/png”，代码里却用getOriginalFilename().endsWith(".jpg")做校验——这玩意儿抓个包改后缀就能绕。又比如配置文件写着debug=false，但application-dev.yml里management.endpoints.web.exposure.include=*，直接访问/actuator/heapdump就能把内存里的数据库密码捞出来。这种漏洞黑盒扫一百遍也扫不到。

工具方面，别迷信自动化。Fortify和Checkmarx能帮你标出Runtime.exec这种明显调用，但真正的逻辑漏洞——比如越权查看他人订单、优惠券叠加套利——它们根本看不懂业务语义。我习惯用grep加正则先筛一遍危险函数，然后手动跟数据流。有次在UserService.java里看到String sql = "select * from users where id = " + userId;，拼接得明明白白，但userId是从ThreadLocal里取的，而ThreadLocal的赋值又依赖一个@PreAuthorize注解。注解没生效，因为@EnableGlobalMethodSecurity写在了错误的配置类上。这种链条，工具链根本串不起来。

白盒渗透最爽的时刻，是找到“设计者以为安全”的地方。比如某金融系统用AES加密了请求体，密钥硬编码在Constants.java里，注释还写着“仅供测试”。更绝的是，加密模式用了ECB，同样的明文块产生同样的密文块。我们通过重放不同金额的加密请求，对比密文变化，直接推出了金额字段的偏移量，把转账金额从1块改成100万。开发后来复盘时说：“我们觉得加密了就安全了。”——这种认知偏差，才是白盒测试真正的靶心。

当然，白盒也有代价。你得读得懂代码，扛得住几千个文件里找那一行equals写成了==的枯燥。但比起黑盒撞大运，我宁愿把时间花在翻源码上。毕竟攻击者不会只从外面敲门，他们可能早就坐在你服务器上，用你的git log找下一个漏洞了。