web安全攻防电子版

一个下午，全攻我盯着Burp Suite里那条拦截到的防电POST请求，突然意识到所谓攻防，全攻本质上就是防电一场关于“信任”的博弈。服务器信任了不该信任的全攻输入，于是防电SQL注入活了三十年；开发者信任了同源策略，于是全攻JSONP回调成了钓鱼的跳板。这不是防电教科书上的理论，是全攻我在真实流量里抓到的血淋淋的肉。

先说说最土的防电攻击方式——SQL注入。你往登录框里敲一个单引号，全攻后端拼接字符串直接爆出500错误，防电那一刻数据库的全攻脾气全写在报错里。可现实里多数人懒得手工测，防电直接丢给sqlmap跑。全攻工具确实快，但工具会骗你。有一次我拿sqlmap打一个内网系统，它报告说“无法注入”，我手动补了个闭合括号，结果掏出了整个用户表。工具不是银弹，它只是把已知路径走得更快，可攻击的本质是找未知路径。

再聊XSS，很多人觉得它low，无非是弹个alert框。可真正危险的XSS从来不弹窗。我见过一个存储型XSS，藏在用户昵称里，管理员一打开后台列表就执行，直接改掉管理员密码。那串payload只有十几字节，用了img的onerror属性，绕过了一堆过滤规则。防御方总以为黑名单能挡一切，可HTML的解析规则比正则灵活得多——你封了script标签，人家用svg；你封了onload，人家用onfocus。这场猫鼠游戏永远没有终点。

CSRF更阴险，它不直接攻击你的数据，而是劫持你的身份。我做过一个实验：在一个论坛发帖处嵌入隐藏的图片请求，指向某个银行转账接口。只要受害者登录着银行账号，再点开这个帖子，钱就悄悄划走了。浏览器自动携带Cookie的特性，成了天然的帮凶。现在的框架大多加了token校验，可老系统里依然到处是漏洞——我上周还看到一个政府网站，改密码的接口连Referer都不检查。

防御这边，WAF不是万能盾牌。有一次客户被扫出大量攻击日志，WAF拦截了99%的尝试，可攻击者用分块传输编码把payload拆成碎片，WAF的规则引擎直接懵了。后来我建议他们别依赖单一设备，把日志全量接入自建分析平台，用行为基线去检测异常——比如某个IP半夜三点突然开始遍历URL参数，这比任何签名都靠谱。安全不是买一堆盒子就能睡安稳觉的事，它需要持续观察和不断调整。

还有个常被忽略的角落：第三方组件。你的代码写得再干净，一个老版本的Log4j就能让你一夜回到解放前。去年我扫过一个客户的资产，光是Spring框架就用了四个不同版本，最老的那个有公开RCE漏洞，而他们根本不知道这个组件还在跑。攻防不能只盯着自己的代码，供应链上每一个依赖都是潜在突破口。这就像你家门锁再结实，可窗户玻璃是纸糊的，小偷照样进来。

我越来越觉得，攻防实战练的不是技巧，是耐心。攻击者要花大量时间做信息收集，从子域名爆破到Google hacking，从GitHub泄露的代码到历史DNS记录。防御者也一样，你得先知道自己有什么，才能谈怎么保护。可多数企业连资产清单都理不清，更别说区分哪些是核心数据、哪些是垃圾缓存了。

说到底，web安全没有一劳永逸的解决方案。今天补了注入，明天冒出个反序列化；这边修好SSRF，那边又多了个文件上传绕过。我见过最讽刺的案例：某公司花大价钱部署了下一代防火墙，结果内部员工把敏感文件传到公网网盘，再强的边界防护也拦不住人自己往外走。技术只是工具，真正的攻防永远发生在人和流程的缝隙里。