web安全攻防实战

凌晨两点，全攻我盯着屏幕上的防实404页面，后背发凉。全攻那不是防实普通的404——响应头里多了个`X-Powered-By: Evil`。三小时前，全攻我在一个客户的防实生产环境里做了次渗透测试，本以为是全攻例行公事，结果挖到了他们CRM系统的防实SQL注入点。`id=1 and 全攻1=2`，页面空白；`id=1 and 防实1=1`，正常返回。全攻就这么简单，防实一个没过滤的全攻参数，把整个用户表拖出来只花了四十分钟。防实

这类事见多了，全攻你会发现web攻击压根不是什么高深魔法。大多数漏洞都藏在开发者的“我以为”里——以为用户不会乱传参数，以为内网接口没人碰得到，以为加个验证码就万事大吉。可现实是，攻击者最擅长的就是打破“以为”。

拿XSS来说，别老想着弹窗那种小儿科。去年我盯过一个小型电商站，商品评论框没做转义。我提交了段``，管理员一审核，cookie直接飞到我服务器上。更狠的是，我拿那个cookie登进后台，改了所有商品价格。整个过程没碰任何漏洞扫描器，就靠浏览器开发者工具。

防护手段呢？WAF、防火墙、代码审计，听起来挺全。但实战里最有效的往往是最土的招——输入过滤加输出编码，这俩做好，能挡掉八成脚本小子。有个客户让我给他们做加固，我翻了半天代码，发现所有用户输入都过了`htmlspecialchars()`，但有个导出Excel的功能，直接把用户填的公式拼进单元格。我填了`=cmd|'/c calc'!A1`，导出后Excel一打开，远程代码执行。你说这算不算漏洞？算。但修补起来也简单——把公式前缀全滤掉就行。

别迷信“内网安全”。现在很多企业把数据库、Redis、消息队列全堆在Docker网段里，觉得外网打不进来就没事。可一旦某个低权限的web服务被拿下，内网横向移动就跟逛超市一样。上次攻防演练，我拿下一个图片上传接口，传了个jpg马，解析漏洞直接拿到shell。然后扫内网，发现Redis没设密码，`config set dir /var/www/html`，写个cron反弹shell，五分钟内拿下三台机器。整个过程没绕过任何安全设备——因为压根没人在内网做流量监控。

但话说回来，防守方也不是吃素的。最让我头疼的不是什么高级威胁情报系统，而是那种“什么都记日志”的运维大哥。有次我拿webshell想留个后门，刚改完文件权限，SIEM就报警了，说文件完整性监控发现`/var/www/shell.php`哈希变了。我还没反应过来，IP已经被封了。你说这技术含量高吗？不高，但人家把基本功做扎实了，照样能逼退老手。

实战教会我的另一件事是——别把用户想象成傻子，但更别把攻击者想象成天才。大多数入侵都是撞运气，撞到没打补丁的旧系统，撞到弱口令，撞到开发忘了删的测试接口。我见过最离谱的案例，某银行子域名挂着个`test.php`，里面是phpinfo()，直接暴露了绝对路径和扩展库版本。顺着这个信息，攻击者找到了对应的已知CVE，一天内拿下了那台服务器。而那个`test.php`，是五年前某个外包程序员留下的。

所以，攻防实战的真相是什么？不是工具多牛，不是0day多稀缺，而是看谁更细心，谁更愿意把每个细节当回事。攻击者会翻你几十页的JS找接口，防守者却常常连访问日志都懒得看。你问我怎么防？先把你自己的“以为”清空，假设所有输入都是恶意的，所有接口都能被碰到，所有日志都有人盯——那至少，你比大多数目标难啃得多。