利用网络漏洞非法获利

2023年夏天，利用漏洞浙江丽水警方破获了一起案子。网络一个23岁的非法年轻人，用自己写的获利脚本，在三个月里从某电商平台套走了七十多万。利用漏洞手法不复杂——他发现平台优惠券的网络领取接口没有做频率限制，写了个循环脚本，非法一秒钟领几百张，获利再通过二手渠道批量转卖。利用漏洞抓他的网络时候，电脑还开着，非法脚本在跑。获利

这事让我想起早些年做运维时碰到的利用漏洞一个漏洞。某网站的网络用户注册页面，手机验证码校验逻辑写反了——验证码错误返回false，非法正确也返回false，只有不填验证码才返回true。当时我拿这个漏洞给站长报了，他愣了半天，说上线三个月了，你是第一个告诉我的。你看，漏洞有时候就这么荒唐，但它就在那儿，等着人发现。

网络漏洞这东西，本质上是代码逻辑和现实预期之间的裂缝。开发者写代码时脑子里有一条正常路径，攻击者干的事就是走那条没人想过的路。2017年的时候，我参与过一次渗透测试，目标是某地方政务系统。前端做了各种校验，输入框限制了长度和字符类型，看起来挺严实。但后端接口完全没做过滤，直接拿参数拼SQL。我们用一个单引号就进去了，数据库里的身份证号、手机号全在眼前。那个系统的开发方是一家本地小公司，报价低得离谱，代码质量可想而知。

非法获利的人分几类。一类是纯粹的技术爱好者，发现漏洞后忍不住想试试，试完发现能换钱，就顺手卖了。另一类是职业黑产，专门盯着金融、电商、社交平台，有组织有分工，有人负责挖洞，有人负责变现，有人负责洗钱。还有一类最让人无语——内部人员。2021年某银行员工利用系统权限，把客户信息导出来卖给贷款中介，一条信息卖五块钱，卖了十几万条。这不算什么高技术含量的漏洞，就是权限管理形同虚设。

有人觉得用漏洞赚钱是“凭本事吃饭”。这话站不住脚。漏洞不是你创造的，你只是发现了它。发现漏洞和利用漏洞获利是两码事。前者可以走漏洞赏金平台，比如补天、漏洞盒子，一个高危漏洞几千到几万不等，合法合规。后者就是黑产，不管包装得多技术流，本质还是偷。

法律这块的红线其实很清楚。《刑法》第二百八十五条、第二百八十六条摆在那儿，非法获取计算机信息系统数据、非法控制计算机信息系统，情节严重的三到七年。2019年之后司法解释进一步明确了“情节严重”的量化标准，违法所得五千元以上或者造成经济损失一万元以上的，就够立案了。五千块，一部手机的钱。

我认识一个做安全研究的朋友，他跟我说过一句话：每个漏洞背后都是一个疏忽，而每个疏忽背后都可能是一个家庭的积蓄。这话不夸张。那些被拖库的用户，手机号泄露后接到诈骗电话，银行卡被盗刷，源头就是某个程序员少写了一行校验代码。

技术本身没有善恶。你用它来挖洞、提交、拿赏金，这是正路。你用它来写脚本、套优惠券、卖数据，那就是另一回事了。区别不在于技术难度，在于你选择把代码指向哪里。