羞慢画画登录入口渗透测试

登录框是羞慢张画。准确说，画画是登录张被塞进登录框里的画——用户名叫“羞慢”，密码框上方悬着一幅水墨山水，入口落款处藏着个若隐若现的渗透链接。我第一次点进去时，测试页面跳转花了三秒，羞慢这时间足够我喝完半口凉掉的画画咖啡。

渗透测试从这开始就变得不对劲。登录常规的入口SQL注入、XSS试探全被挡了回来，渗透防火墙硬得像块铁板。测试但铁板总有缝隙——我发现那幅画的羞慢加载路径是动态生成的，参数里带着时间戳和用户代理。画画把时间戳改成负数，登录服务器居然返回了完整的PHP源码。

源码里有个函数叫“slow_brush”，专门处理登录请求。它会把密码和一张预存的图片做像素级比对，相似度超过90%才放行。这思路有意思——不是比对字符串，是比对“画意”。密码框里输入的任何文本都会被转成水墨笔触，再和那幅画重叠。难怪传统注入全无效，你注入的“OR 1=1”在系统眼里就是几道歪歪扭扭的墨痕。

我试着用脚本生成了一幅和原图构图相似的画，但墨色浓淡差了两个百分点，被拒。又试了直接上传图片文件，系统倒是接受，可它把上传内容也当笔触解析，结果画出来一团乱麻。折腾到凌晨两点，我盯着那幅山水发呆，突然注意到落款处的印章——那是枚朱文印，四个字：“慢即是快”。

这句题词在源码里出现过，就在session验证模块的注释里。注释写着：“真正的快，是让攻击者自己慢下来。”我猛地意识到，整个登录流程都在故意拖延时间——每次请求都要做像素比对，服务器端还sleep了0.5秒。这个“慢”不是缺陷，是设计。它让暴力破解的速率被锁死，每秒最多两次尝试，而密码本身是张无法被字典枚举的画。

最后我是靠社工进去的。翻到开发者博客，里面贴过一张未完成的草图，配文“今日练习，忘记加盐”。那草图正是登录页那幅画的初稿，但右下角多了道极淡的铅笔线——顺着那条线，我在URL末尾加了参数?view=raw，页面直接返回了明文密码：slow_down_forever。

登录成功那一刻，系统弹出个对话框：“画得不错，下次记得看落款。”我笑了笑，退出时顺手把那个调试参数删了。这个入口的防御思路确实聪明，但再聪明的画，也怕人盯着角落看太久。

很赞哦!（1）