漏洞挖掘

2021年冬天，漏洞挖掘一个安全研究员在Twitter上发了条推文，漏洞挖掘配图是漏洞挖掘一张调试器的截图。他花了整整三天，漏洞挖掘只为了证明某个浏览器在处理特定CSS动画时，漏洞挖掘会释放一块已经被引用的漏洞挖掘内存。没有炫技，漏洞挖掘没有攻击链，漏洞挖掘就一个UAF。漏洞挖掘但这条推文后来被引用了几百次——因为那个漏洞的漏洞挖掘触发条件太刁钻了，刁钻到让人怀疑他是漏洞挖掘不是把浏览器源码当小说读。

漏洞挖掘这件事，漏洞挖掘外人听起来像黑客电影里的漏洞挖掘桥段：敲几行命令，屏幕跳出绿色字符，漏洞挖掘防火墙就塌了。漏洞挖掘真实情况无聊得多。大部分时间你在读代码，读反汇编，读RFC文档，读那些十年前某个工程师随手写的注释。然后你猜，猜哪里可能出错，写个PoC跑一下，崩了，再猜。

我见过一个挖了十几年漏洞的人。他的工作台上有三台显示器，左边是IDA Pro，中间是目标程序的二进制，右边永远开着一个记事本，里面密密麻麻记着“0x401A20处可能未校验长度”“第7个字段的解析逻辑和文档不一致”。他跟我说，挖漏洞本质上是在跟开发者玩一个不对称的游戏：开发者要保证所有输入路径都安全，你只需要找到一条他没堵上的路。

这条路往往藏在最不起眼的地方。比如某次我分析一个IoT设备的固件，Web界面看起来固若金汤，参数校验严得离谱。但固件里有个telnet服务，默认密码是出厂设置的“admin:admin”。更离谱的是，这个telnet服务在局域网内可以直接访问，不需要任何认证。厂商的更新日志里写着“增强了Web端安全性”——他们确实增强了，只是忘了后门还开着。

工具当然重要。AFL、libFuzzer、CodeQL，这些能把人从重复劳动里捞出来。但工具不会告诉你“这里可能有问题”。工具只会告诉你“这里崩溃了”。从崩溃到可利用的漏洞，中间隔着一整条逻辑链：这个崩溃能控制哪些寄存器？能覆盖哪个函数指针？ASLR和DEP开着吗？有没有信息泄露能绕过它们？

有个细节挺有意思。很多高危漏洞的补丁，diff出来只有一两行。一个长度检查，一个边界判断，一个类型转换。但就是这一两行，在补丁发布之前，可能已经被攻击者利用了几个月甚至几年。防守方看到的是“已修复”，攻击方看到的是“原来这里可以打”。

挖漏洞的人分几种。一种盯着大厂的目标，Chrome、Windows、iOS，奖金高，竞争也激烈。一种专攻冷门设备，路由器、摄像头、工控PLC，这些设备更新慢，厂商安全投入少，一挖一个准。还有一种纯粹出于好奇，看到什么奇怪的东西都想拆开看看。最后这种人往往挖得最久，因为他们不着急。

如果你刚开始学，别急着找0day。先试着复现已知的CVE，把补丁前后的代码对比着读。你会慢慢培养出一种直觉：看到一段没有边界检查的循环，或者一个从网络直接读进来的长度字段，手指会自己停下来。那种直觉比任何工具都值钱。

漏洞不会消失。代码是人写的，人就会犯错。有些错误很蠢，有些错误很优雅。挖漏洞的人做的事情，就是在别人犯错的地方，多停留一会儿。

很赞哦!（15764）