《小裤裤笔记渗透测试》

我花了三个晚上，小裤把同事小林的裤笔“小裤裤笔记”给黑了。别误会，记渗那是透测个笔记软件，他给起的小裤名字叫“小裤裤”，说是裤笔私密、贴身、记渗装的透测全是宝贝。这小子平时嘴严得像蚌壳，小裤可系统里的裤笔漏洞多得像筛子。

第一晚，记渗我盯上的透测是他手机上的同步接口。小裤裤笔记有个云备份功能，小裤说是裤笔端到端加密，可我发现它上传文件时，记渗HTTP头里居然带着一个Base64编码的user_id参数。我顺手改了最后一位数字，从1改成2，服务器没报错，直接吐回了另一个用户的笔记列表。这不算破解，顶多是“撞库”的远房亲戚——IDOR，越权访问。小林的笔记里全是奶茶配方和健身房打卡，我索然无味，但心里记下了：这产品经理大概没听说过“对象级授权”这词。

第二晚，我换了个思路。小裤裤笔记的网页版有个导出PDF功能，URL长这样：/export?file_id=xxx&format=pdf。我试着在file_id后面加了个单引号，页面直接崩了，报错信息里赫然写着SQL语句的片段。好家伙，这年头还有拼接SQL的？我往参数里塞了句UNION SELECT username,password FROM users，结果导出出来的PDF里，第一行是小林的账号名，第二行是一串哈希值。哈希不算密码，但拿去跑个字典，五分钟就解出来了，是“ilovecola”。

第三晚，我决定玩点狠的。小林的笔记里有个“共享给好友”功能，会生成一个短链接。短链接的生成接口不校验来源，我伪造了一个POST请求，把目标指向我自己的服务器。结果，小林分享出去的那条“老板的KPI漏洞”笔记，访问记录里多了个陌生IP——那是我搭的蜜罐。整个过程没绕过任何验证码，没触发任何风控，纯粹是信任链断了。

测试做完，我把报告摔在小林桌上。他盯着屏幕看了半天，蹦出一句：“我靠，这笔记里还有我前女友的联系方式呢。”我说，你该庆幸是我来测，换成别人，你那些“私密”早就裸奔了。他低头扒拉了两口泡面，闷声说：“改，马上改。”

渗透测试这事儿吧，说白了就是替坏人先走一遍路。漏洞不稀奇，稀奇的是人总觉得自己那点数据没人惦记。小裤裤笔记的用户量不大，可万一哪天它火了，第一个被拖库的就是这种“小作坊”。我最后跟小林提了个建议：别用自研同步协议了，老老实实上OAuth2.0，PDF导出别用拼接SQL，文件ID改成UUID。他点头如捣蒜，但我知道，下个版本上线前，他大概率还是会忘。

毕竟，开发者的记性，和用户的密码习惯一样，都是漏洞的一部分。

(责任编辑：焦点)