互联网常见漏洞

2023年秋天，互联一个做电商的网常朋友凌晨两点给我打电话，说店铺后台被人登了，见漏订单被改得乱七八糟。互联我问他密码复杂吗，网常他说挺复杂的见漏。再问，互联他说上周点过一个"订单异常"的网常链接，输入了账号密码。见漏这就是互联典型的钓鱼。互联网漏洞这事，网常很多时候不是见漏技术多高明，而是互联人太容易上钩。

先说SQL注入。网常这词听着专业，见漏其实原理很朴素：网站让你填个搜索词，你规规矩矩填"手机壳"，但有人填的是 ' OR 1=1 --。如果后台没做过滤，数据库会把这串东西当成命令执行，直接把所有用户数据吐出来。2015年英国电信运营商TalkTalk被黑，16万用户信息泄露，根子就是这。修起来也不难，参数化查询就能挡，但很多老系统就是不改，因为"能跑就别动"。

XSS跨站脚本是另一回事。你逛论坛，看到一条评论，页面弹了个窗，或者悄悄把你的cookie发到某个服务器。攻击者往页面里塞了JavaScript，浏览器分不清这是网站自己的代码还是别人注入的，照单全收。存储型XSS最阴，恶意代码存在数据库里，谁看谁中招。我见过一个博客系统，评论区没过滤，结果每个访客都被重定向到赌博网站。站长三天后才发现。

CSRF更隐蔽。你登录了银行网站，cookie还在有效期内。这时你打开另一个标签页，里面藏着一个自动提交的表单，向银行发转账请求。浏览器会自动带上cookie，银行以为是本人操作。防御手段是加token，但很多开发者觉得"用户不会那么傻"，就不加。事实是，用户根本不知道发生了什么。

文件上传漏洞经常被低估。有些网站只检查前端，用JavaScript判断后缀名。攻击者抓个包，把 shell.php 改成 shell.jpg 传上去，服务器照收。如果服务器还允许解析，那这台机器基本就归别人了。我见过一个政府网站，上传头像的功能能传PHP文件，路径还直接返回。这种漏洞在漏洞平台上能卖不少钱，但修复可能只需要一行配置。

弱口令和默认密码是老生常谈，但每年都有大新闻。MongoDB数据库默认不设密码，2017年一下子暴露了上万台。Redis也一样，默认绑定0.0.0.0还没密码，被人写进SSH公钥。不是技术难，是懒。装完就用，改配置嫌麻烦。攻击者扫全网也就几分钟的事。

逻辑漏洞最有趣，因为它不靠技术，靠脑洞。比如修改密码功能，第一步验证手机号，第二步填新密码。有人发现，第二步的请求里用户ID可以改，改成别人的ID，就能改别人的密码。还有电商网站，优惠券可以无限领，因为没校验领取次数。这类漏洞扫描器扫不出来，得靠人一点点试。我认识一个安全测试员，他最喜欢干这个，说像解谜题。

供应链漏洞这几年越来越突出。你用的开源库、第三方SDK，可能藏着后门。Log4j那个事，一个日志库，全球几百万台服务器受影响。你什么都没做错，但你依赖的东西出问题了。修复也麻烦，得等上游更新，或者自己打补丁。很多公司连自己用了哪些开源组件都说不清。

这些漏洞有个共同点：修复成本远低于被攻破的代价。但人就是拖。直到出事。我那朋友后来换了密码，加了二次验证，还买了WAF。我说你早干嘛去了。他说，这不是没出事嘛。你看，漏洞一直在，只是没轮到你。