未授权漏洞

凌晨三点，未授我盯着屏幕上的权漏响应包，后背发凉。未授一个普通的权漏`GET`请求，没带任何凭证，未授直接返回了后台管理员的权漏完整列表——姓名、手机号、未授甚至密码哈希。权漏这不是未授什么高深的0day，只是权漏开发忘了在接口上加个`@LoginRequired`注解。

这种漏洞，未授说难听点，权漏像家门没锁。未授不是权漏撬锁技术多高超，是未授压根没锁。我见过太多系统，防火墙垒得跟碉堡似的，WAF规则写了上千条，结果某个内部API裸奔在公网上，参数里塞个`admin=true`就畅通无阻。

去年某省政务平台出事，攻击者没打SQL注入，没搞反序列化，就翻了下JS文件，找到一个没鉴权的导出接口。几百万条公民信息，Excel格式，点开就能下。后来通报写的是“因系统未对敏感操作进行身份校验”，翻译成人话就是——门卫大爷上厕所去了，谁都能进。

问题出在哪？开发排期紧，测试只测主流程，安全人员被当成吉祥物。那个接口上线前，代码评审里有人提过一句“这没鉴权”，然后被回复“先上线，后面补”。后面的意思，通常是永远不补。

更恶心的是，这种漏洞往往藏得深。主站防护严密，子域名却是个测试环境，连着生产库。或者移动端APP调了个老版本接口，服务端没校验版本，直接放行。攻击者不用多聪明，翻翻历史文档，找找Git提交记录，就能挖出来。

我有个朋友，专门做众测赚零花钱。他说最喜欢挖未授权，因为“零成本，高回报”。拿个BurpSuite挂上，遍历一遍URL，看到`/api/user/info`这种路径就改改参数试试。十个里面总能中一两个。他上周刚提交了个漏洞，某银行积分商城，修改用户ID就能查别人住址。积分商城啊，谁会觉得那里有敏感数据？

防御这事，真不是堆设备能解决的。你得承认，代码是人写的，人会偷懒，会疏忽，会以为“没人知道这个地址”。但互联网上，任何URL都可能被扫描器光顾。哪怕你藏得再深，只要DNS能解析到，就有人能发现。

我建议每个团队做个残酷实验——让一个新人，不给任何文档，只给目标域名，试一天。大概率他能找出至少一个未授权接口。别笑，试试就知道，结果往往比预想惨烈。然后你会明白，所谓安全建设，先得把门锁好，再谈装监控。