拿到授权书那天，羞慢我盯着“羞慢画”这个域名看了很久。画官一个主打条漫和插画的渗透小众平台，日活不到五万，测试服务器架在杭州某IDC机房，羞慢技术栈是画官PHP 7.2加MySQL 5.6。说实话，渗透这种配置在2024年简直像开着拖拉机上高速。测试但客户坚持要做渗透，羞慢说最近后台总出现异常登录记录。画官

我先从登录接口下手。渗透抓包发现密码传输用的测试是前端JS加密，看着挺唬人，羞慢实际是画官把明文密码做了一次Base64再拼上时间戳。这种伪加密连脚本小子都拦不住。渗透更离谱的是，登录失败没有次数限制，验证码在三次错误后才出现。写了个简单的Python脚本跑常见弱口令，admin/123456直接进去了。后台管理面板的URL是/admin.php，连路径都没改。

进去之后发现数据库配置文件就放在web根目录下的config.php里，可以直接访问。MySQL的root密码是“Xiaomanhua@2019”，明显是运维随手设的。用这个密码连上数据库，用户表里有十二万条记录，密码字段是MD5加盐，盐值硬编码在代码里。拿彩虹表跑了两小时，解出三万多条明文。最要命的是，用户上传的漫画原图存在/public/uploads/目录下，文件名就是时间戳加用户ID，没有任何访问控制。我随便挑了几个URL，直接看到了未发布的付费章节。

文件上传功能更是重灾区。前端限制只允许jpg和png，但后端只检查了Content-Type。把shell.php改成shell.jpg上传，再用Burp Suite改包把Content-Type换成image/jpeg，直接getshell。服务器权限是www-data，但/etc/passwd可读，内网IP段是192.168.1.0/24。用frp做了个反向代理，发现同网段还有三台机器，其中一台开着3306端口，密码和主库一样。

客户技术负责人后来跟我说，他们一直觉得“小站没人盯”。这话我听过太多次了。羞慢画的用户数据在黑市上不值钱，但十二万条手机号加密码，撞库其他平台的成功率不会低。我走之前给他们列了整改清单：数据库配置文件移出web目录、上传目录禁止执行权限、登录加二次验证、密码传输用真HTTPS。他们问要不要买WAF，我说先把PHP 7.2升到8.1再说，那玩意儿2020年就停止支持了。

渗透测试这行干久了，会发现很多问题不是技术问题，是态度问题。羞慢画的开发团队可能觉得“能跑就行”，但安全从来不是附加项。这次测试报告我写了四十七页，最核心的一句是：你们距离被脱库，只差一个脚本小子的耐心。