去年冬天，网站一个做电商的漏洞朋友让我帮忙看他的后台。他说最近总有陌生IP在凌晨三点登录管理员账户，验证失败十几次后停手，网站第二天又来。漏洞我让他把登录日志导出来，验证发现那些IP归属地全是网站境外VPS。这不是漏洞什么高级攻击，就是验证有人在用自动化脚本跑弱密码字典。他问我怎么确认这到底算不算漏洞——其实答案很简单：你拿同样的网站方法再跑一遍，看能不能进去。漏洞能进去就是验证漏洞，进不去就不是网站。漏洞验证的漏洞核心逻辑就这么朴素。

很多人把漏洞扫描和漏洞验证混为一谈。验证扫描器报了一堆高危，你逐条去试，结果八成是误报。我见过某政府站点的扫描报告，列了47个SQL注入点，实际手工验证下来只有两个是真的。扫描器判断依据是响应时间延迟或者报错信息，但有些页面本身就慢，有些报错是框架自带的。所以验证的第一步永远是：确认这个“漏洞”是否真的能被利用。不能利用的，顶多算信息泄露或者配置不当，别急着写进报告里吓人。

手工验证SQL注入最直接的办法是在参数后面加单引号。比如 id=1'，页面返回数据库错误，说明参数没过滤。但别停在这，继续构造 id=1' AND 1=1-- 和 id=1' AND 1=2--，看两次返回内容是否不同。如果1=1正常显示，1=2显示空，基本可以确定存在注入。这时候可以上sqlmap跑一下，但别全信它的输出，它有时候会把布尔盲注误判成时间盲注。我习惯手工确认到能读出version()或者user()才收手。

XSS的验证更依赖浏览器行为。在输入框里填 <script>alert(1)</script>，提交后看页面是否弹窗。不弹不代表没漏洞，可能是被HTML实体编码了。试试 <img src=x onerror=alert(1)>，或者 "><svg onload=alert(1)>。如果这些都被过滤，检查一下是不是只过滤了<script>标签。有时候后端只做黑名单替换，用大小写混写 <ScRiPt> 就能绕过。验证XSS时最好用浏览器的开发者工具看DOM结构，别只看页面视觉变化。存储型XSS尤其要小心，你插进去的payload可能被其他用户触发，测试时用alert(document.domain)比alert(1)更安全，至少不会误伤。

文件上传漏洞的验证有个坑：很多教程让你传一个.php文件，看能不能解析。但真实环境里，上传目录往往禁止执行脚本。我试过传一个shell.php上去，访问返回源码而不是执行，说明服务器配置了php_flag engine off。这时候别急着放弃，试试传.phtml、.php5、.phar，或者用.htaccess重新映射解析规则。还有一种情况是前端校验文件后缀，后端不校验。用Burp抓包改filename="test.jpg"为filename="test.php"，如果上传成功且能访问，那就是漏洞。我见过一个站点，上传后返回的路径是/upload/2024/test.php.jpg，这种双重后缀在Apache某些配置下会被解析成PHP，值得一试。

逻辑漏洞的验证最考验耐心。比如越权查看订单，你登录用户A，把订单ID改成用户B的，看能不能看到B的收货地址。能，就是水平越权。修改密码时抓包，把user_id=123改成user_id=124，看能不能改别人的密码。这些操作不需要什么工具，浏览器加Burp就够了。但要注意，验证越权时别真的修改或删除数据，看一眼就退出来。我有个习惯：验证前先截图保存原始状态，验证后立刻恢复，避免影响生产环境。

最后说一个容易被忽略的点：验证漏洞时一定要记录完整的请求和响应。用Burp的Repeater或者curl的-v参数，把HTTP原始报文存下来。截图会骗人，但报文不会。有一次我提交了一个“命令执行漏洞”，开发说不可能，我把他拉过来看Burp里的;id回显，他当场闭嘴。证据比嘴硬有用。

(责任编辑：探索)