分析一个网站的漏洞

我盯上了一个叫“旧书交换站”的分析小众网站。它界面朴素，个网像2005年的漏洞产物，但用户粘性极高，分析都是个网些痴迷纸质书的家伙。我注册账号后，漏洞第一件事不是分析找书，而是个网去翻它的URL参数。果然，漏洞个人主页的分析ID是纯数字递增的：user.php?id=1088。我把1088改成1087，个网页面直接跳出了另一个用户的漏洞注册邮箱和手机号——这连SQL注入都不用，纯粹的分析越权访问。

更糟的个网是，它的漏洞密码重置功能。我点了“忘记密码”，系统把重置链接直接发到邮箱，但响应包里藏着完整的密码哈希。我截获后扔进在线破解工具，不到五分钟就解出了明文。这网站的开发者显然把“安全”当成事后补丁，连最基本的加盐哈希都没做。

真正让我倒吸一口凉气的是它的搜索框。我输入' OR 1=1 --，页面居然返回了全站用户列表，包括管理员账号。那一刻我意识到，这不是技术缺陷，是态度问题。程序员可能觉得，一个小众网站没人会盯上，但攻击者恰恰最爱这种“没人管”的角落——数据量小，但真实，而且防御几乎为零。

我试着往它的留言板提交了一段脚本，浏览器直接弹出了我的cookie。这要是换作XSS平台，管理员一登录，整个后台就沦陷了。它的富文本编辑器过滤规则形同虚设，连基础的HTML实体编码都没做。我甚至怀疑，这网站从上线起就没更新过依赖库，因为报错页面上赫然写着PHP 5.3的版本号——那都是十多年前的老古董了。

到这儿，我停手了。不是良心发现，而是觉得没意思。这种漏洞密集的网站，就像一扇没上锁的门，推一下就开，完全没有任何挑战性。但这件事让我想起一个更普遍的规律：安全漏洞从来不是技术问题，而是人的问题。开发者图省事，用最简短的代码拼凑功能，却忘了数字世界的每一行代码都在跟恶意流量赛跑。

后来我登录后台看了下，管理员最后活跃时间是一年前。也就是说，即使我改了密码，他可能都不会发现。这种“僵尸网站”其实是最危险的——用户以为它还在运作，但维护者早已弃船。数据躺在那里，像无人看管的仓库，等着任何一个好奇或恶意的路人。

我把发现写成一封匿名邮件发给站长，附上了漏洞复现步骤。三天后，网站依旧如故，连个自动回复都没有。我删了账号，顺手把浏览器里的缓存清了。这年头，连漏洞报告都石沉大海，难怪黑产越来越猖獗——不是攻击者太强，是防守方压根没在守。