凌晨三点，漏洞获利某电商平台的漏洞获利优惠券系统被薅走37万。攻击者只做了一件事——在领取接口的漏洞获利请求参数里，把用户ID换成了负数。漏洞获利

负数。漏洞获利就这么简单。漏洞获利系统校验金额大于零，漏洞获利却没校验用户ID大于零。漏洞获利于是漏洞获利积分、优惠券、漏洞获利甚至退款金额，漏洞获利全部从负数开始累加。漏洞获利这漏洞躺了四年，漏洞获利没人发现，漏洞获利直到有人顺手试了试。漏洞获利

我见过最讽刺的漏洞获利案例，发生在某银行App。转账限额校验逻辑写在前端JavaScript里，后端只认签名不认来源。黑客把页面源码下载，改掉限额判断条件，重新打包签名，就能单笔转出500万。银行的风控系统盯着每笔交易的行为特征，却对“合法签名”的异常请求毫无反应。技术人总迷信“签名即安全”，却忘了签名只证明“你是谁”，不证明“你要干什么”。

漏洞获利的核心从来不是技术难度，而是信任错位。开发者信任输入格式，信任签名机制，信任业务逻辑的完备性。可现实是，每层信任都留了缝隙。2019年某云厂商的存储桶遍历漏洞，被人批量扫描出上千个公开的数据库备份，里面躺着几百万条公民身份证号。获利者不是黑客，是搞数据倒卖的二道贩子。他们不懂代码，只懂“搜一下”就能看到别人家后门大敞。

有个细节我一直忘不掉。某次应急响应，客户数据库被拖，黑客勒索0.5个比特币。查日志发现，攻击入口是后台登录页的“记住密码”功能——开发者把加密后的凭证明文存在了Cookie里。更离谱的是，加密用的是AES-ECB模式，同一明文永远产生同一密文。黑客不用解密，直接复制管理员的Cookie就能进后台。这哪是漏洞，这是开发者把钥匙挂在门口，还在上面贴了张纸条写着“请自取”。

漏洞获利最隐蔽的形态，是“合法滥用”。某打车平台曾爆出，乘客端App修改定位参数能享受“虚拟出发地”优惠，司机端修改轨迹能骗取平台补贴。双方都用了官方接口，都走了正常流程，只是参数被人为篡改。平台追责时发现，改参数的工具是某电商平台公开出售的“抢单插件”，30块钱一套，销量过万。获利的人根本不知道自己在“攻击”，他们只觉得“这软件挺好用”。

写到这里，我想起那个负数的故事。后来平台修复了漏洞，把用户ID改成校验大于零。但没人追问：为什么四年来，没有一个人觉得“负数”不对劲？因为代码评审只看逻辑是否跑通，不看数据是否合理。安全测试永远在模拟“正常攻击”，却忘了真实世界的攻击者，往往只做一件小事——把正数改成负数，把0改成1，把“否”改成“是”。

漏洞获利，本质是人性钻空子的技术化表达。修不完的，不是代码，是那种“差不多就行”的开发心态。你以为你在写业务逻辑，实际上你在写别人发财的门路。