凌晨两点，漏洞我盯着漏洞盒子后台的盒何提交框，光标在“漏洞详情”那一栏闪了又闪。挖洞这不是漏洞我第一次挖洞，但每次提交前的盒何手抖，跟第一次没什么两样。挖洞怕的漏洞是自己以为的“0day”其实是个已经被公开的CVE，更怕的盒何是厂商压根不认，回你一句“该问题属于预期功能”。挖洞

挖洞这事，漏洞说穿了就是盒何跟厂商玩“找茬”。但找茬也得讲基本法——你得先明白目标是挖洞什么。漏洞盒子上的漏洞项目分两种：SRC（厂商自建应急响应中心）和众测项目。SRC范围大、盒何奖励看心情，挖洞适合练手；众测范围窄、规则明确，适合冲着奖金去。我第一次正经挖洞，选了个众测的电商App，范围写得清清楚楚：只测Web端，别碰支付逻辑。结果我偏不信邪，非要去试优惠券叠加，最后被厂商在群里点名警告，差点封号。

从那以后我学乖了，先把“范围”两个字刻在脑门上。你连人家划的圈都不敢跳出去，还谈什么挖洞？但光守规矩没用，你得有思路。我的习惯是，拿到一个目标，先不急着扫目录、跑Burp，而是花半小时把它的功能点全点一遍，像个普通用户那样用。注册、登录、搜索、下单、改资料、传头像——这些流程里藏着80%的漏洞。你越像个正常人，越能发现不正常的地方。

说个具体例子。上个月测一个政府门户网站，功能少得可怜，就一个信息公开查询和在线留言。扫了半天，啥也没扫出来。我差点放弃了，随手在留言框里输了个``，然后点提交。页面跳转到“留言成功”，我也没抱希望。结果第二天再登录，后台管理页面居然直接显示了我那条留言的HTML渲染效果——存储型XSS，还是打在管理员的浏览器里。厂商第二天就确认了，给了个中危。你说这算技术吗？算，但更像是运气撞上了细心。

不过，靠运气吃饭早晚饿死。真正让我觉得“挖洞是门手艺”的，是那次测一个云盘系统。上传功能做了白名单校验，只允许jpg和png，而且文件头也验了。我试了改后缀、双写扩展名、加空格，全被拦。后来我盯着上传接口的响应包发呆，发现它返回了一个JSON，里面有个`file_url`字段，值直接拼接了文件名。我试着把文件名改成`1.jpg/../../shell.php`，服务端居然没过滤斜杠，直接给我拼到了路径里。上传后，我访问`/uploads/1.jpg/../../shell.php`，居然真的解析了。那一刻的爽感，比拿奖金还带劲。

但挖洞不只是技术活，更是心理战。你得猜厂商的开发人员哪里会偷懒。他们写代码时最烦什么？烦输入校验、烦权限判断、烦日志记录。所以漏洞往往藏在那些“没人想管”的角落里——比如导出Excel功能里的SQL注入，比如重置密码接口里的逻辑绕过，比如旧版本API没下线。你把自己想象成那个赶工期的程序员，想着“这块应该没人测吧”，然后往那儿一戳，往往就中了。

还有一点，别小看漏洞盒子上的“重复提交”判定。你辛辛苦苦挖了个洞，结果发现三天前已经有人报过了，白忙活。所以我的经验是，冷门功能点优先测，热门接口（比如登录、注册）基本被薅秃了。宁可在没人看的“用户协议下载”里找参数污染，也别去跟几百号人挤同一个登录框。

最后说句实在的：挖洞这活儿，三分技术，七分耐心。你可能会连着几天一无所获，然后某个深夜，随手点了个按钮，弹出了个500报错——别急着关，那个报错信息里可能就藏着绝对路径泄露，甚至SQL报错回显。我至今记得第一次挖到高危时，屏幕上那串堆栈信息像密码一样跳出来，我截图发给朋友，对方回了一句：“这也能被你看到？”

对，这也能被我看到。只要你想看，到处都是。

(责任编辑：知识)