常见十大漏洞

先讲个真实事故。大漏洞2017年，大漏洞一家美国征信公司Equifax被拖走1.43亿条用户数据，大漏洞包括社保号、大漏洞驾照号、大漏洞信用卡号。大漏洞事后调查发现，大漏洞攻击者利用的大漏洞是Apache Struts框架的一个已知漏洞——CVE-2017-5638，补丁早在两个月前就发布了，大漏洞但公司IT部门没打。大漏洞就这么简单，大漏洞一个没打补丁的大漏洞漏洞，让整个公司市值蒸发三分之一。大漏洞

漏洞从来不是大漏洞黑客发明的，是大漏洞代码写出来的。十个常见漏洞，本质上都是程序员在某个瞬间偷了懒、省了事，或者压根没想过有人会这么搞。

SQL注入排第一毫无悬念。你在登录框输入' OR 1=1 --，如果后台直接拼SQL字符串，那恭喜你，你已经是管理员了。这种漏洞2000年就被研究透了，但现在随便找个新上线的网站，拿工具扫一遍，还能扫出一堆。XSS跨站脚本紧随其后。论坛、评论区、搜索框，只要用户输入没过滤，攻击者就能往页面里塞JavaScript，偷cookie、劫持会话、弹假广告，干的事多了去了。

文件上传漏洞更直接。你上传个图片，服务器没检查扩展名，你传个.php上去，等于把服务器钥匙交出去了。我见过一个政府网站，上传处只校验了Content-Type，用Burp Suite改个包就进去了，整个后台目录裸奔。

越权访问分两种。水平越权是你看别人的订单，垂直越权是普通用户干管理员的事。很多系统只在菜单上隐藏了按钮，后端接口根本没做权限校验。你直接调API，传个admin=true，就进去了。这种漏洞在内部管理系统里特别常见，因为开发者默认“自己人不会乱来”。

反序列化漏洞是Java和PHP的噩梦。攻击者构造恶意序列化数据，服务器反序列化时直接执行命令。2015年Apache Commons Collections那条链子，让无数Java应用沦陷。现在很多框架默认不允许反序列化不可信数据，但老系统改不动，只能裸奔。

弱口令不算技术漏洞，但杀伤力比任何技术漏洞都大。我做过一次渗透测试，目标公司用的财务系统，密码是Admin@123，管理员叫admin，连爆破都不用试。后来看他们员工手册，上面写着“初始密码请及时修改”，但没几个人改。

CSRF跨站请求伪造现在年轻程序员不太熟了，因为很多框架自动带token。但老项目、API接口，很多没做校验。攻击者诱导你点个链接，你浏览器就自动发了个转账请求，你都不知道。

敏感信息泄露范围很广。GitHub上搜password，能搜出一堆硬编码的数据库密码、API密钥。还有备份文件放在网站根目录，.bak、.sql文件直接下载。2019年某快递公司泄露了数百万用户信息，原因就是运维把备份文件放错了目录。

XML外部实体注入（XXE）现在少了，但老系统还在。解析XML时没禁用外部实体，攻击者读取本地文件，/etc/passwd、数据库配置全暴露。这漏洞处理起来很简单，禁用DTD就行，但很多老代码改不动。

组件漏洞最烦人。你用了某个开源库，版本老了，漏洞公布了，但你不知道。Log4j2那个漏洞，全球几百万应用受影响，很多公司排查了一个月才确认自己中招。这类漏洞没法提前防范，只能靠软件成分分析工具定期扫描。

说个扎心的事实：这十个漏洞里，有八个靠“输入校验+权限校验+及时打补丁”就能堵住。但现实是，业务压力永远大于安全投入，漏洞就永远是那十个。