网站请联系网站管理员

网站管理员老周今天第三次点开那个报错弹窗。网站“请联系网站管理员”——这行字他写了有五年了，请联从没想过自己真会变成那个“被联系”的系网人。

事情发生在周三凌晨两点十七分。站管服务器日志显示，网站一个IP地址来自南美洲的请联爬虫程序，用一套他从未见过的系网参数组合，把数据库里所有用户头像的站管URL全换成了猫的图片。更绝的网站是，每张猫都戴着不同款式的请联墨镜。老周盯着监控屏上那些戴着雷朋、系网欧克利、站管甚至迪奥墨镜的网站猫，突然觉得这可能是请联某个同行在测试他的应急响应能力。

他试着回滚数据，系网发现备份文件也被改了——备份服务器里存着的全是猫，但墨镜款式换成了圆框复古风。这手法太干净了，连时间戳都伪造得毫无破绽。老周给那个南美IP发了封邮件，用西语写着“兄弟，墨镜不错，但我的用户需要他们的脸”。半小时后，对方回了个笑脸符号，附上一条链接，点开是个GitHub仓库，里面有一套完整的安全漏洞报告——关于老周自己写的那个“简易用户登录系统”。

那套系统是2018年他图省事，用网上开源框架改的，当初只想着“能用就行”。报告里白纸黑字写着：SQL注入点三个，XSS漏洞两个，最致命的是密码加密方式用的MD5加固定盐——那个盐值就写在代码注释里，旁边还画了个笑脸。老周尴尬地发现，自己当年居然在注释里写了“别告诉别人”。

他花了一整天才把漏洞补完。期间网站访问量掉了三成，因为猫脸头像吓跑了不少用户。有个人在反馈区留言：“管理员，我点开自己主页发现变成了一只戴墨镜的橘猫，说实话比我原来那张证件照好看，能不能保留？”老周没理他。

事后复盘，老周在维护日志里写了长长一段。结尾是这么说的：“那个南美爬虫让我意识到，我写的不是代码，是给别人留的后门。网站管理员这个称呼听着挺唬人，其实就是在自己挖的坑里不断填土。现在我把那段注释删了，换成了一句——‘如果你看到这行字，说明你比老周细心，欢迎来修漏洞，但别动我的猫。’”

他保留了那个漏洞报告页面，只是加了密码。密码是“sunglasses”，全小写。有同行问起，他就笑笑：“那是给下一个‘网站请联系网站管理员’的人准备的。”屏幕右下角，那个报错弹窗还在，但老周现在觉得，它更像一个路标，指向某个他还没发现的坑。