证书漏洞

去年某省级政务平台被曝出一个漏洞：用户登录后，证书漏洞只要把URL里的证书漏洞用户ID改一位数字，就能看到别人的证书漏洞身份证号和手机号。这不是证书漏洞什么高深攻击，就是证书漏洞手动改个参数。系统没做任何权限校验——它默认你只会看自己的证书漏洞页面。

这种事我见过太多次了。证书漏洞证书系统尤其严重，证书漏洞因为大多数人觉得"证书"天然等于"安全"，证书漏洞开发时反而松懈。证书漏洞

一个证书查询接口的证书漏洞故事

前年帮朋友查一个职业资格证，网站有个"证书查询"页面。证书漏洞输入姓名和证书编号，证书漏洞返回结果。证书漏洞我随手试了试只输姓名不输编号，证书漏洞居然也返回了数据。再试了试姓名留空只输编号前几位，照样出结果。

后端代码大概长这样：

query = "SELECT * FROM certs WHERE name LIKE '%" + name + "%' AND number LIKE '%" + number + "%'"

两个条件都是模糊匹配，而且没做非空校验。这意味着你可以用空字符串匹配全表。我把name参数改成 ' OR '1'='1，直接拿到了三万多条证书记录，包括姓名、身份证号、证书类型。

这个接口上线两年了。没人发现，因为正常用户不会去改参数。但漏洞就在那里，像一扇没锁的后门。

为什么证书系统特别容易出问题

证书系统有个特点：查询功能往往对公众开放。查学历、查资格、查房产证，都得让外人能查。一旦对外开放，攻击面就大了。

另一个问题是，很多证书系统是外包做的，验收时只看功能能不能跑通，不看安全性。甲方不懂技术，乙方交差走人。一个证书查询页面，能查出结果就算合格。

还有个更隐蔽的：证书编号本身可能被当成"密码"用。有些系统设计时想，你知道证书编号就说明你有权查，所以不再做额外验证。但证书编号经常印在纸质证书上，或者出现在各种公示名单里。它根本不是秘密。

我见过最离谱的一个

某地住建部门的特种作业证书查询，前端页面有个隐藏字段写着 is_admin: false。用浏览器开发者工具改成 true，刷新，页面上多出一个"批量导出"按钮。点一下，整个数据库的证书信息下载为Excel。

前端做权限控制，后端完全不验证。这种设计思路就是把锁画在门上，但门根本没关。

还有个系统更省事——证书编号是自增的。1、2、3、4……写个脚本从1遍历到100000，半小时就能把全库爬完。没有验证码，没有频率限制，没有任何阻碍。

问题出在哪一层

表面看是代码问题，往深了说是意识问题。开发证书系统的人，往往把它当成一个"展示型"项目——把数据存进去，能查出来，页面好看，就完了。安全测试？不存在的。

但证书数据恰恰是黑产最想要的东西。真实姓名、身份证号、证书类型、发证机关，这些信息打包卖，一条能卖几毛到几块钱。量大了就是一笔不小的收入。

我观察到一个规律：越是不涉及资金交易的系统，安全投入越少。证书查询不涉及支付，不涉及转账，看起来"没什么可黑的"。但数据本身就是资产。三万个证书持有者的完整信息，在黑市上比很多支付漏洞都值钱。

能不能修

能。而且大部分修复成本极低。

参数化查询防注入，加上权限校验，查询接口做频率限制，证书编号用UUID代替自增ID——这些都不是什么高深技术，一个合格的开发半天就能搞定。问题从来不是"能不能修"，而是"知不知道要修"。

我写这些不是要贩卖焦虑。只是觉得，证书这东西本身代表信任，发证机构盖了章，说"此人具备此资质"。结果承载这份信任的系统，连最基本的查询权限都没管住。这挺讽刺的。

下次你在某个政府网站查证书，不妨试试把URL里的数字改一位。如果还能看到别人的信息，那说明这个系统，和上面说的那些，没什么两样。

很赞哦!（353）