上个月我帮朋友排查一个电商站，网站后台登录页直接被脱裤了。漏洞对方用的检查是最原始的SQL注入，连sqlmap都没上，网站手工在用户名框里敲了个单引号，漏洞页面就报错了。检查这提醒我，网站很多网站的漏洞安全检查，其实连最基础的检查东西都没做到位。

先说配置层面的网站漏洞。很多人以为装了防火墙就万事大吉，漏洞实际上服务器默认配置就够喝一壶的检查。比如Apache的网站目录列表功能没关，任何人都能直接浏览你uploads文件夹里的漏洞所有文件——我见过某政府网站把身份证扫描件就这么裸奔了好几年。还有错误信息泄露，检查数据库报错时把完整的SQL语句和表结构全吐出来，这对攻击者来说等于送了一份内网地图。检查时得逐个试：访问不存在的路径看返回什么，修改请求头看服务器版本号是否暴露，试试默认的管理后台路径能不能直接进。

输入验证这块，SQL注入和XSS是永远的兄弟。但很多人只盯着登录框，忽略了下单数量、搜索关键词、甚至Cookie里的参数——这些都能成为注入点。之前审计过一个在线教育平台，课程价格存在隐藏字段里，直接改前端代码就能0元购，后端居然没做二次校验。XSS更隐蔽，富文本编辑器里上传SVG图片，里面嵌着恶意脚本，管理员一预览就中招。检查时不能只测常见位置，要顺着业务逻辑走：上传点、导出功能、API接口的JSON参数，每个入口都拿特殊字符和编码变形试一遍。

身份认证和会话管理，这块出问题往往不是技术难度高，而是懒。某银行网点系统，密码错误五次就锁账户十五分钟——这规则本身没错，但攻击者可以拿这个功能批量锁定用户账号，搞拒绝服务。更常见的是会话超时设成两小时，用户离开电脑忘了锁屏，保洁阿姨都能进去转账。还有那些把用户ID直接写在URL里的，改个数字就切到别人账号，这叫越权漏洞，属于逻辑漏洞里最蠢的一种。检查时要试：退出登录后按后退键能不能看到缓存页面，两个浏览器同时登录同一账号会不会互相踢下线，修改密码时旧密码是不是真的验证了。

文件上传和下载往往是重灾区。上传点不光看后缀名过滤，还得看文件头、MIME类型、压缩包里的嵌套文件。我见过用白名单限制jpg的，结果攻击者传了个合法的JPEG，里面嵌着PHP代码，配合服务器解析漏洞照样执行。下载功能要留意路径穿越，把文件名参数改成../../../../etc/passwd试试，有些系统连过滤都没做。还有备份文件泄露——网站根目录下躺着个www.zip，里面是全部源码加数据库备份，这种我一年能撞见五六回。

业务逻辑漏洞最考验人的耐心。比如优惠券能不能重复使用，退款流程能否篡改金额，分页参数能不能改成负数绕过数据权限限制。前阵子测一个外卖平台，注册时填写的邀请码没有校验归属，随便编一个都能领红包，撸羊毛的团队靠这个薅走了几十万。这类漏洞扫描器扫不出来，只能靠人肉模拟真实用户的操作路径，想方设法钻业务规则的空子。

最后说说第三方组件。很多网站用的开源框架和插件，版本老旧到漏洞库都懒得收录了。检查时得翻一下依赖清单，重点看log4j、Fastjson、Spring这些热门组件的版本号——如果有CVE编号公开了，基本等于给对方递刀子。别以为小公司才这样，某头部车企的官网用的还是2016年的ThinkPHP，攻击者直接用公开的POC打进去，拖走了几百万条车主信息。

安全这东西，永远不是装个扫描器跑一遍就完事。你得把自己当成一个耐心的小偷，顺着每扇窗户往里瞅，试遍每把锁有没有弹珠松动的。上面说的几类，算是基础中的基础，但能把每项都踏踏实实检查到位，已经能拦下九成以上的攻击了。