去年十一月，爬虫渗透我盯上一个做本地生活服务的爬虫渗透站点。页面看着普通，爬虫渗透但翻到第三页的爬虫渗透时候，URL里冒出一串数字参数，爬虫渗透`?爬虫渗透city_id=1024&page=3`。我随手把1024改成1025，爬虫渗透页面没报错，爬虫渗透返回了另一个城市的爬虫渗透商户列表——连登录都不用。

这就是爬虫渗透爬虫渗透里最老套的入口：参数没做权限校验。开发图省事，爬虫渗透前端传什么后端就查什么，爬虫渗透压根没想过有人会手动改。爬虫渗透

从“能爬”到“能进”之间，爬虫渗透只隔了一层窗户纸

很多人以为爬虫就是爬虫渗透requests加BeautifulSoup，把页面内容扒下来存库。这没错，但太浅了。真正的渗透式爬虫，目标是摸清对方系统的边界——哪些接口没鉴权、哪些参数能注入、哪些返回字段泄露了后台结构。

我拿那个本地生活站举例。改city_id只是第一步，我接着试了`&debug=1`，页面底部多出一行SQL执行时间。再试`&format=json`，直接返回了原始数据，连HTML渲染都省了。这说明后端有个统一的API网关，只是前端没暴露出来。

这时候爬虫的性质就变了。你不再是在“抓页面”，而是在“调接口”。效率差多少？普通爬虫解析一个列表页要200毫秒，直接打API只要30毫秒，而且拿到的字段更全——商户电话、营业时间、甚至内部ID都躺在JSON里。

验证码不是墙，是筛子

那站第三天上了验证码。滑块式的，看着挺唬人。我打开开发者工具，发现滑块验证的接口是独立的：`/api/captcha/verify`。传两个参数，`token`和`offset`。token是页面加载时发的，offset是滑块移动距离。

问题出在token上。它没有绑定用户会话，也没有过期时间。我写了个循环，先请求`/api/captcha/get`拿token，再用Selenium模拟滑动拿到offset，最后把这对值缓存起来。一次验证，重复用。五千次请求，只滑了三次滑块。

这不是我多聪明，是对方把验证码当成了孤立的组件，没跟业务请求做关联。渗透的思路就是找这种“断链”——系统里各个模块各管各的，连接处的缝隙就是入口。

日志里藏着后门

爬了大概两周，我发现每天凌晨三点到四点，接口返回的数据量会暴涨。不是我的请求，是别人也在爬。顺着时间戳查，发现那个时段有个固定IP在调一个我没见过的接口：`/api/export/batch`。

试了一下，需要传`admin_key`。我没这个key，但返回的错误信息里带了提示：`key length should be 32`。这说明后端在比较长度之前就返回了错误，等于告诉攻击者“你传的key长度不对”。我试了32个a，返回“key invalid”。再试32个0，返回“key expired”。

expired意味着这个key曾经存在过。我去翻那站的历史快照，在某个离职员工的GitHub仓库里找到了一个测试用的key。虽然已经过期，但配合`/api/export/batch`的另一个参数`force=true`，居然绕过了过期检查——后端只在force为false时才验证有效期。

这个口子我没继续往下挖。把发现整理成报告，发给了他们的安全邮箱。两周后接口关了，验证码也改成了行为式。

爬虫的终点不是数据

很多人觉得爬到数据就完了。其实数据只是副产品。真正的价值在于你摸清了对方系统的逻辑漏洞——哪个参数能越权、哪个接口没限流、哪个错误信息泄露了内部结构。这些东西比几万条商户信息值钱得多。

我现在做爬虫项目，第一步永远是手动改参数、看返回、翻JS文件找接口。写代码之前先花两小时“玩”一下目标站点，比上来就堆框架有用。那些藏在URL里的数字、藏在响应头里的版本号、藏在错误提示里的字段名，才是渗透式爬虫真正要抓的东西。

至于法律边界，那是另一回事。我只在授权范围内做测试，发现漏洞就报，不碰用户数据。技术本身没有对错，用在哪、怎么用，才是分界线。