《漏洞汇总》

去年冬天，漏洞汇总一个做电商的漏洞汇总朋友半夜给我打电话。他的漏洞汇总订单系统在凌晨两点被人刷了四千多单，全是漏洞汇总零元购。原因说出来都丢人——优惠券接口没做频率限制，漏洞汇总一个手机号能无限领。漏洞汇总他问我：“这算漏洞吗？漏洞汇总”我说算，而且是漏洞汇总最低级的那种。

低级漏洞往往最要命。漏洞汇总不是漏洞汇总技术多难防，是漏洞汇总压根没人觉得那是个问题。就像你家大门装了虹膜识别，漏洞汇总结果后窗开着，漏洞汇总贼都不好意思不进来。漏洞汇总

我见过一个后台管理系统，漏洞汇总登录密码是“admin123”。开发的人说：“反正内网用的。”后来那个内网被接进了公网，因为运维图省事，直接做了端口映射。三天后数据库被删，黑客留了张纸条：“密码太简单，帮你们测试一下。”

这种事听多了会麻木。但有些漏洞藏得深，跟技术无关。

前年某在线教育平台出过一次事故。一个学生发现，修改课程链接末尾的数字ID，就能看到其他学生的作业和答案。他没声张，默默看了两个月，期末考了满分。后来被同学举报，平台才反应过来——接口只做了身份验证，没做权限校验。任何登录用户都能访问任意课程资源。

这个漏洞的根子不在代码，在产品逻辑。设计的人默认“学生只会看自己的课”，没想过有人会改URL。安全圈有句话：永远不要相信用户的输入。但更该记住的是：永远不要假设用户的行为。

还有一种漏洞，是时间造成的。

我整理旧项目时翻出一个五年前的支付回调接口。当时对接的第三方支付平台早就改了签名规则，旧接口却还在跑。测试时发现，用旧的MD5签名方式依然能通过验证——因为服务端为了兼容老版本，保留了两套校验逻辑。新签名走新逻辑，旧签名走旧逻辑，而旧逻辑里有个参数没做非空判断。

攻击者只要构造一个空参数，就能绕过金额校验。一块钱买走一万块的充值。这个漏洞存在了五年，没人发现，因为没人去看那段“已经稳定运行”的代码。

稳定是漏洞最好的伪装。

说回开头那个电商朋友。我帮他补了频率限制，加了验证码，又查了一遍日志。结果发现更早之前就有人用脚本领了八千多张券，只是没一次性用掉，每次用几张，混在正常订单里。像蚂蚁搬家，搬了半年。

他看完日志沉默了很久，说：“我以为只有大公司才会被盯上。”我说你错了，攻击成本低到离谱。一个开源脚本，一个代理IP池，再加点耐心，就能撬开大部分中小系统。不是他们不想防，是不知道要防什么。

漏洞汇总这件事，最怕的是只汇总技术层面的。SQL注入、XSS、CSRF，这些都有现成的扫描器。真正难防的是逻辑漏洞、权限漏洞、时间漏洞。它们不在OWASP Top 10里，却在每个赶工期的项目里生根发芽。

我习惯在每次上线前问三个问题：这个接口，陌生人能调吗？调了之后，能看到别人的数据吗？如果能看到，能改吗？三个问题过一遍，能拦住大半低级漏洞。

剩下的，靠运气，也靠有没有人愿意半夜接你电话。