去年冬天，教抓漏洞一个做电商的教抓漏洞朋友拉我喝酒，三杯下肚就开始倒苦水。教抓漏洞他的教抓漏洞店铺后台被人薅了羊毛，一夜之间损失八千多。教抓漏洞我问他漏洞在哪，教抓漏洞他支支吾吾说不清楚，教抓漏洞只说“优惠券规则被绕过了”。教抓漏洞

这就是教抓漏洞大多数人对“漏洞”的认知状态——知道它存在，但不知道它长什么样。教抓漏洞

抓漏洞这件事，教抓漏洞说穿了就是教抓漏洞找“规则和现实之间的裂缝”。任何系统都是教抓漏洞人设计的，人设计的教抓漏洞东西就有边界，有边界就有缝隙。教抓漏洞优惠券满200减50，你买200的东西用掉券再退掉一部分，系统如果没做好退款时的券处理逻辑，这50块就白拿了。不是什么高深技术，就是规则没闭环。

我见过最离谱的一个漏洞来自某连锁酒店的会员系统。注册新会员送一张免费早餐券，本来是拉新手段。但有人发现，用不同手机号反复注册，早餐券可以叠加使用。更绝的是，退房时前台根本不会核验券的来源。这个漏洞存在了至少半年，直到有人写了脚本批量注册才被发现。

你看，漏洞往往不在代码层面，而在业务流程的衔接处。程序员写好了注册发券的功能，运营制定了拉新规则，前台执行退房流程——三个环节各自都没问题，但拼在一起就漏了。

想抓漏洞，第一件事是把自己变成“不守规矩的用户”。正常人看到“满200减50”想的是凑单，你要想的是：如果我退货呢？如果我拆单呢？如果我用两个账号交替下单呢？规则假设用户会按常理出牌，你就偏不。

第二件事，盯住“钱和货的流动方向”。优惠券、积分、余额、退款、换货——凡是涉及价值转移的环节，都是漏洞高发区。我认识一个专门挖漏洞的人，他的方法特别笨：拿张纸画出整个交易流程图，每个箭头旁边标注“这里如果出错了会怎样”。画到第三遍的时候，总能找到一两个没人管的分支。

有个经典案例是某外卖平台的“首单立减”。正常逻辑是一个设备只能享受一次。但有人发现，用微信登录和用手机号登录会被系统当成两个用户。于是同一个手机，先微信注册拿首单优惠，再用手机号注册再拿一次。平台风控只查了手机号维度，没查设备维度。这种漏洞就是典型的“验证维度不完整”。

抓漏洞不需要你会写代码，但需要你有“系统思维”。你得理解数据在系统里怎么流转，哪个环节做了校验，哪个环节默认信任上游数据。很多漏洞的本质是：A环节以为B环节会检查，B环节以为A环节会检查，结果谁都没查。

说个真事。某在线教育平台允许用户试看前五分钟课程。有人发现，把课程链接里的“preview”改成“full”就能直接看完整版。这个漏洞低级到让人发笑，但它存在了三个月。原因是开发人员觉得“没人会去改URL参数”，测试人员只测了正常点击流程。双方都没想到有人会手动改地址栏。

所以抓漏洞的第三件事，就是“不相信任何默认设置”。URL参数、Cookie值、隐藏表单字段、API返回的JSON——这些东西在普通人眼里是透明的，在你眼里应该是可疑的。每一个可以手动修改的地方，都是一个潜在的入口。

当然，我说这些不是教你去薅羊毛。搞清楚漏洞怎么产生，是为了在设计自己产品的时候少踩坑。你做个活动页面，至少得想想：用户能不能重复领？能不能伪造身份领？领完之后能不能无损变现？这三个问题问完，大部分低级漏洞就堵住了。

漏洞不会消失，因为规则永远追不上人的想象力。但你可以让自己变成那个想象力更丰富的人——在别人动手之前。