web攻击测试实战

去年秋天，击测我帮一家做跨境电商的试实朋友查服务器。他们后台频繁出现异常订单，击测金额不大，试实但频率很高，击测像是试实有人在批量刷接口。我让他把Nginx日志导出来，击测翻了不到十分钟，试实就看到一个IP在凌晨三点到四点之间，击测对/api/v1/order/create发起了两千多次POST请求，试实每次参数都略有不同。击测这不是试实普通用户能干出来的事。

Web攻击测试，击测很多人一上来就想着SQL注入、试实XSS这些名词。击测但真实场景里，攻击者最先做的事往往是“看”。看你的接口有没有频率限制，看你的错误信息里有没有堆栈，看你的响应时间是否因为某个参数而明显变长。我习惯把这叫“摸门”。摸到了，再决定是撬锁还是翻窗。

拿SQL注入来说。教科书上会写' OR 1=1 --，但实际测试时，你得先判断数据库类型。MySQL和MSSQL对注释符的处理不一样，报错回显的方式也不同。我遇到过一个站，输入单引号直接返回500，但页面没有任何数据库错误信息。换成and 1=1和and 1=2对比，响应长度差了37个字节。就靠这37个字节，确认了注入点存在。这种细节，扫描器不一定报得出来。

XSS测试更有意思。反射型XSS现在越来越难打，因为浏览器和框架都在过滤。但存储型XSS换个思路——比如把payload塞进用户昵称，然后触发管理员后台的日志页面。我见过一个后台，日志列表直接输出用户昵称，没做HTML编码。一个<img src=x onerror=alert(1)>就进去了。管理员一打开日志页，cookie就发到了我的接收端。这跟技术多高深没关系，纯粹是开发忘了“所有输出都不可信”这条铁律。

文件上传漏洞也是重灾区。有些站只检查Content-Type，你把image/jpeg改成text/php，它照样收。更离谱的是，有的站把上传目录设成了可执行。我传一个.php文件，访问路径直接运行。这种站现在少了，但内网系统里还有。去年一个客户的内网OA，上传头像的地方就能传.jsp，路径还回显在响应里。拿下来之后，发现数据库密码就写在web.xml里。

CSRF测试经常被忽略。因为利用条件苛刻——需要用户登录，需要参数可预测，需要没有token。但一旦满足，杀伤力不小。我做过一个实验：写一个自动提交的表单页面，放在自己的服务器上。诱导已登录目标站的管理员访问，表单直接提交“添加管理员”请求。目标站没有CSRF token，Referer也不校验。三秒钟，我的账号就进了管理员列表。这不是技术漏洞，是逻辑漏洞。

再说一个容易被忽视的点：HTTP方法。很多站只防GET和POST，忘了PUT和DELETE。我试过对一个REST接口发PUT /api/user/1，body里改role: admin。接口没做权限校验，直接返回200。普通用户变管理员。这种测试不需要工具，curl就够了。

工具方面，Burp Suite的Repeater和Intruder是主力。但别迷信自动化扫描。AWVS扫出来的高危，一半是误报；真正能打的点，往往藏在业务逻辑里。比如优惠券重复领取、密码重置token可预测、订单金额前端可改。这些扫描器看不出来，得手动测。

最后说一句：测试之前，拿到书面授权。没授权就是入侵，不是测试。我见过有人拿扫描器扫了别人的站，被请去喝茶。技术再好，边界不清，迟早出事。