web应用常见漏洞

一个晴朗的应用常周末下午，我登录自己维护的见漏一个小型电商网站后台，发现订单数据全部变成了乱码。应用常数据库被篡改了，见漏攻击者留下的应用常备注只有一句话：“你们的登录框真有意思”。

这就是见漏典型的SQL注入。攻击者在用户名输入框里敲了一段数据库查询代码，应用常系统没做任何过滤，见漏直接拼进了SQL语句。应用常登录框瞬间变成了数据库的见漏“后门”。这类漏洞至今仍排在OWASP Top 10的应用常前列，原因很简单——开发人员太信任用户输入了。见漏

XSS跨站脚本攻击更隐蔽。应用常攻击者把恶意脚本藏在文章评论里，见漏其他用户浏览时，应用常脚本就在他们的浏览器里执行。我见过最狠的一次，攻击者通过XSS偷走了管理员Cookie，然后以管理员身份登录，给全站商品改了价格。更麻烦的是，XSS漏洞往往藏得很深，可能就躲在一个不起眼的图片标签属性里。

文件上传漏洞也常见得令人头疼。很多网站允许用户上传头像，但没检查文件内容。有次渗透测试，我上传了一个伪装成图片的PHP文件，服务器直接执行了。这意味着攻击者可以在服务器上运行任意命令——读取配置文件、连接数据库、甚至把整个网站目录打包下载。防范方法其实不复杂：检查文件扩展名、验证MIME类型、用随机文件名存储、最重要的是——上传目录绝对不能有执行权限。

越权漏洞则更考验业务逻辑设计。水平越权就是普通用户能访问其他用户的订单、收货地址；垂直越权更危险——普通用户能调用管理员接口。我见过一个真实案例，某在线教育平台，学生账号修改URL里的一个数字ID，就能以教师身份批改作业。这类漏洞靠技术扫描工具很难发现，得靠人工测试业务逻辑。

还有一个常被忽略的——不安全的直接对象引用。简单说，就是网站把数据库主键直接暴露在URL里。比如下载文件时用 download.php?id=123，把id改成124就能下载别人的文件。修复方法很直接：加权限校验，或者把可预测的数字ID换成随机字符串。

框架和组件漏洞也别小看。很多团队用开源框架，但从不关注安全公告。有个客户网站用的是三年前的ThinkPHP版本，攻击者利用已知漏洞，一条命令就拿到了服务器权限。不是框架不安全，是你没打补丁。

写代码的时候，多问自己一句：如果这个输入框被塞入一段恶意代码会怎样？如果用户篡改了请求参数会怎样？安全不是最后加的补丁，是每一行代码里都该有的意识。别等被黑了才想起来修——那时候，数据可能早就被拖走了。