常见网站漏洞，网站说白了就这几板斧

上周帮朋友排查他那个小电商站，漏洞订单表被清空，网站黑客留下的漏洞留言是“练手，别慌”。网站查了三天日志，漏洞最后定位到登录接口——密码框里直接拼SQL，网站连个参数化查询都没做。漏洞这种漏洞，网站十年前的漏洞教程就在讲，现在依然遍地都是网站。

SQL注入是漏洞老大难。你输入`' or 网站1=1 --`，如果后台傻乎乎地拼进查询语句，漏洞那整个用户表就裸奔了。网站更狠的用`union select`拖数据，或者用`into outfile`写webshell。我见过最离谱的案例，某政府网站后台用root连数据库，一条注入直接拿下服务器权限。防御其实不复杂，预编译语句加白名单过滤，但很多程序员图省事，字符串一拼就上线。

XSS这玩意儿更阴。它不偷数据库，专偷浏览器。攻击者在评论区塞一段`