白帽子web

去年冬天，白帽一个做安全的白帽朋友给我发来一张截图。某电商平台的白帽订单查询接口，把用户手机号后四位直接拼在了URL里。白帽他顺手改了最后一位数字，白帽页面刷新，白帽另一个陌生人的白帽收货地址、购买记录全出来了。白帽他没继续往下翻，白帽关掉页面，白帽写了份报告提交给SRC。白帽三天后接口加了鉴权。白帽他说这种事在圈子里太常见了，白帽常见到没人觉得是白帽个事儿。

白帽子这个称呼，白帽听起来挺酷。实际上大部分时候干的就是这种活——在别人家的系统里东翻西找，找到漏洞，写报告，等修复。没有电影里那种绿字黑屏的炫酷界面，多数人用的就是浏览器F12和Burp Suite。一个抓包工具，一个开发者面板，再加上足够的耐心。

Web安全这块，核心就三个字：信不过。用户提交的任何东西都信不过，前端传来的参数信不过，Cookie信不过，甚至自己服务器返回的数据也得再校验一遍。SQL注入、XSS、CSRF、SSRF、文件上传漏洞、越权访问——这些名词拆开来看，本质上都是同一个问题：有人把不该信任的输入直接当成了指令或者数据去执行。

我见过最离谱的一个案例，某政务系统后台的登录逻辑写在前端JavaScript里。用户名密码硬编码在源码中，任何人打开开发者工具搜一下就能看到。这种漏洞甚至不需要什么技术，但偏偏就上线跑了大半年。后来是一个刚学安全的大学生发现的，他本来只是想看看这个网站用的什么框架。

白帽子发现漏洞之后，通常走两个渠道。一个是厂商自己的SRC平台，提交报告，等审核，拿积分或者奖金。另一个是CNVD、CNNVD这类国家漏洞库。但现实情况是，很多中小型公司根本没有SRC，你提交过去可能石沉大海，甚至被当成攻击者报警处理。所以圈子里有条不成文的规矩：测试之前先看清目标范围，别碰不该碰的数据，发现敏感信息立刻停止，报告里别夹带任何真实用户数据。

法律边界这事，怎么说都不为过。《网络安全法》和《刑法》285条、286条摆在那里。未经授权的渗透测试，哪怕你只是看了一眼，也可能构成非法获取计算机信息系统数据罪。前几年有个案子，一个白帽子发现某网站漏洞后提交了报告，但测试过程中拖了库，最后被判了刑。圈子里讨论了很久，有人觉得冤，有人觉得活该。我的看法很简单：你进了别人家的门，不管出于什么目的，先敲门这件事不能省。

工具层面，Burp Suite几乎是标配。OWASP ZAP免费开源，功能也够用。浏览器插件像Wappalyzer可以快速识别目标技术栈，HackBar用来手动测试参数。但工具永远只是辅助，真正决定水平的是对HTTP协议的理解深度。请求方法、状态码、头部字段、Cookie机制、同源策略——这些基础的东西吃透了，再看那些漏洞类型，会发现它们不过是协议设计中的妥协和实现中的疏忽。

有个现象挺有意思。很多刚入门的人热衷于收集各种漏洞靶场和工具脚本，电脑里存了几十个G的资料，但真正动手去挖一个真实站点的漏洞时，连怎么判断一个参数是否可控都搞不清楚。Web安全这行，看再多 writeup 不如自己动手测一个。哪怕只是在自己搭建的DVWA环境里把每个漏洞手动复现一遍，收获都比看十篇教程大。

白帽子的日常其实挺枯燥的。大部分时间花在信息收集上——子域名枚举、端口扫描、目录爆破、指纹识别。真正发现漏洞的那一下确实爽，但前面可能已经翻了几个小时甚至几天的垃圾数据。有个前辈跟我说过，挖洞就像在海滩上找贝壳，你明知道这片沙滩上一定有，但不知道具体在哪个位置，只能一寸一寸地翻。

这行还有一个特点：知识更新快。今天流行的框架，明天可能就爆出高危漏洞。上周还在用的绕过姿势，这周可能就被WAF规则拦了。所以白帽子基本都保持着持续学习的习惯，看安全公告、跟GitHub上的新工具、泡在各类安全社区里。不是卷，是没办法，停下来就意味着下次测试的时候可能连门都找不到。

说到底，Web安全的核心不是技术有多高深，而是思维方式的转变。从“这个功能怎么用”变成“这个功能怎么被滥用”，从“输入什么能正常工作”变成“输入什么会出问题”。这种思维一旦形成，看任何网站都会下意识地去找它的信任边界在哪里。这大概就是白帽子的职业病。