千图网漏洞

2023年11月，千图我在一个素材群里看到有人发链接，网漏说千图网能免费下载VIP素材。千图点进去一看，网漏还真是千图——原本要充会员才能下的源文件，页面上直接给了下载按钮。网漏当时第一反应是千图官方做活动，但翻了两页就发现不对劲：下载链接指向的网漏是第三方网盘，文件名后面还挂着"内部渠道"四个字。千图

这就是网漏千图网那次漏洞被利用的典型场景。严格说，千图漏洞本身不在千图网的网漏主站，而在它早期一套用于合作分发的千图子系统。那套系统给外部渠道开了接口，网漏权限校验做得粗糙，千图只要拿到渠道密钥就能绕过会员体系直接拉取素材库。密钥怎么泄露的？后来圈里流传的说法是某个合作方的前员工把测试环境的配置传到了GitHub上。真假没法核实，但时间线对得上——2023年10月中旬开始，各种"千图VIP免费下"的帖子在贴吧、QQ群、甚至闲鱼上冒出来，到11月初集中爆发。

我试着走了一遍流程。先在一个资源站拿到所谓的"工具包"，解压出来是个Python脚本加一份配置文件。脚本做的事很简单：构造带特定参数的请求，打到千图网一个已经下线的API端点。响应里直接返回素材的CDN地址和提取码。整个过程不需要登录，不需要验证码，连User-Agent都不用伪装。从技术角度看，这甚至算不上"攻击"，更像是在用一把没拔的钥匙开一扇没锁的门。

千图网的反应不算慢。11月7号左右，那个API端点返回403了。但问题在于，素材文件已经流出去了。有人把下载链接做成了在线查询页面，输入素材ID就能拿到网盘地址。这些页面至今还能搜到几个，只是大部分链接已经失效。更麻烦的是，部分素材被二次打包，在淘宝上以"千图网终身会员素材库"的名义卖，9块9一份，销量还不低。

这件事暴露的问题比漏洞本身更值得说。千图网作为国内老牌素材站，早期为了快速铺量，接入了大量第三方分发渠道。这些渠道的权限管理长期处于"能用就行"的状态。一个做设计的朋友告诉我，他2021年就发现过类似问题，当时给官方反馈过，得到的回复是"已知悉，正在优化"。两年过去，优化没等到，等来了一次大规模泄露。

从用户角度，这事挺矛盾。一边是设计师抱怨素材贵，一边是平台方说维护版权成本高。漏洞被利用期间，确实有人白嫖到了不少好东西。但反过来想，如果素材方的收益持续被侵蚀，最后要么涨价，要么减少更新，吃亏的还是用素材的人。我认识的一个插画师，他的作品在这次事件里被下载了上千次，一分钱没拿到。他后来把千图网的店铺关了，转去了别的平台。

千图网官方始终没发正式公告。只在11月中旬悄悄更新了用户协议，加了一段关于"禁止利用系统漏洞获取服务"的条款。这种处理方式很"千图"——低调、务实、不惹事。但漏洞留下的痕迹没那么容易抹掉。直到现在，偶尔还能在某个角落看到"千图漏洞复活"的帖子，点进去多半是引流或者骗局。真正能用的通道，早就堵死了。

写这些不是要教人怎么薅羊毛。那个Python脚本我删了，网盘里的素材也没动。只是觉得，一个漏洞从出现到被利用再到被修复，整个过程像一面镜子，照出了平台、渠道、用户三方各自的小算盘。平台想省事，渠道想捞钱，用户想白嫖。最后谁都没赢——平台丢了口碑，渠道断了合作，用户拿到一堆随时可能失效的链接。唯一确定的是，下次再有类似的事，流程大概还是一样的。