网页漏洞在线测试

去年秋天，网页一个做电商的漏洞朋友让我帮忙看看他的网站。后台日志里有个IP地址，线测连续三天在凌晨两点到四点之间，网页反复提交同一个订单接口，漏洞每次参数都只改一个数字。线测他以为是网页正常用户，我翻了翻请求体，漏洞发现那个数字是线测商品ID，而接口没有做权限校验。网页换句话说，漏洞任何人只要知道商品ID，线测就能以0元下单。网页这不是漏洞什么高深漏洞，就是线测典型的越权访问。

网页漏洞在线测试，说白了就是拿工具去戳别人或者自己网站的接口、表单、URL参数，看有没有类似这种“忘了锁门”的地方。很多人以为这需要什么黑客技术，其实大部分入门级漏洞，用浏览器F12和几个在线扫描器就能摸出来。

我常用的一个在线工具叫“Web Vulnerability Scanner”，免费版每天能扫五个页面。输入URL，它自动爬取链接，然后往每个参数里塞测试载荷——比如单引号、双引号、<script>alert(1)</script>。如果页面返回数据库报错，或者弹窗，那就说明有问题。去年我拿它扫了一个政府公开信息平台，结果在“搜索”参数里发现了SQL注入。提交一个单引号，页面直接返回MySQL语法错误，连表名都露出来了。这种漏洞在在线测试里属于“送分题”。

但工具不是万能的。有一次我手动测一个登录框，输入 admin' -- 作为用户名，密码随便填，结果直接进了后台。工具没扫出来，因为它只检测报错，不检测逻辑绕过。在线测试的核心不是工具本身，而是你怎么构造请求。比如把 user_id=123 改成 user_id=124，看能不能看到别人的订单；把 file=report.pdf 改成 file=../../etc/passwd，看能不能读系统文件。这些动作不需要写代码，浏览器地址栏就能干。

还有个坑：很多在线测试平台会记录你提交的URL和参数。如果你拿它去测未授权的网站，可能违反《网络安全法》。我一般只在自己搭的靶场里练手，比如DVWA、Pikachu。DVWA有个“命令注入”关卡，输入 127.0.0.1; whoami，页面直接返回当前系统用户。那种反馈很直观，比看一百篇教程都管用。

说回那个电商朋友。我让他把订单接口加上token校验，并且把商品ID和用户ID绑定。改完第二天，那个IP又来了，这次返回403。他问我怎么防在线测试。我说防不住，任何人拿浏览器都能试。你能做的只有两件事：一是别把敏感接口暴露在前端，二是每个请求都校验权限。至于那些自动化扫描器，它们只是帮你发现问题的第一道筛子，真正的漏洞往往藏在业务逻辑里——比如优惠券能不能叠加使用、积分能不能负数兑换。这些工具扫不出来，得靠人脑去推演。

如果你刚接触这块，别急着找“一键检测”的神器。先打开一个你熟悉的网站，按F12看网络请求，把某个参数改大一点、改小一点、改成空值，观察返回结果。这个过程比任何在线测试都实在。漏洞就在那些“开发者觉得不会有人这么干”的地方。