怎样查找网站漏洞

```html

2019年，样查某社交平台一个没做参数化查询的找网站漏搜索接口，让攻击者用一条 ' OR 1=1 -- 就拖走了整个用户表。样查这事听起来像段子，找网站漏但每年都在重演。样查查找网站漏洞不是找网站漏拿着扫描器一通乱扫，那叫碰运气。样查真正的找网站漏漏洞挖掘，是样查从“这个功能如果是我来写，我会在哪偷懒”开始的找网站漏。

先得把网站当成一个黑盒来摸。样查打开浏览器开发者工具，找网站漏关掉JS？样查不，先看网络请求。找网站漏我习惯先填一遍所有表单——注册、样查登录、搜索、上传——然后盯着请求里的参数名。user_id=1024，试试改成 1023，看能不能看到别人的订单。这叫水平越权，比SQL注入还常见，而且扫描器往往扫不出来。去年我帮一个朋友看他的小电商站，把 order_id 加了个单引号，直接报数据库错误，连WAF都没有。这种就是典型的“开发只测了正常流程”。

SQL注入现在少多了，但没绝迹。判断方法很土：在参数后面加 '，看回显是否异常；加 and 1=1 和 and 1=2，对比页面差异。如果报错信息里出现 You have an error in your SQL syntax，基本就能确定。不过别急着用sqlmap跑，先手工确认注入类型——数字型还是字符型，有没有过滤空格。有次我遇到一个站，把空格替换成空，但用 /**/ 就能绕过去。这种细节，工具不会告诉你。

XSS更微妙。反射型XSS随便找个搜索框输入 <script>alert(1)</script>，看会不会弹窗。但存储型XSS得看输出点：评论区、昵称、个人简介。有个坑是，很多站会对 <script> 做转义，但忘了 onerror 属性。试试 <img src=x onerror=alert(1)>。如果被过滤了，换成 <svg/onload=alert(1)>。我见过一个论坛，把 alert 关键词拉黑了，但 confirm 没拉黑。这种黑名单机制，绕起来跟玩似的。

文件上传是另一个重灾区。别只盯着 .php 能不能传——先看前端有没有JS校验，抓包改后缀试试 .php5、.phtml。如果返回“不允许的类型”，但文件实际上传上去了，只是没解析，那说明黑名单不全。更狠的是，有些站把上传目录设成可执行，你传个 .htaccess 进去，里面写 AddType application/x-httpd-php .jpg，然后传个jpg马，直接 getshell。这招我2017年在一个政府站上用过，现在想起来还觉得离谱。

逻辑漏洞最考验耐心。比如密码找回，验证码是不是只在前端校验？抓包把 code=1234 改成 code=0000，看后端认不认。或者修改响应包，把 "status": "fail" 改成 "success"。还有支付逻辑，把商品数量改成负数，看总价会不会变成负数——有些站会直接给你退款。我见过一个外卖平台，优惠券可以叠加使用，但没限制同一张券的复用次数，结果有人用一张5元券点了100次外卖，只花了5块钱。这种漏洞，扫描器永远发现不了。

工具要用，但别依赖。Burp Suite 的 Repeater 和 Intruder 是主力，Nmap 扫端口，dirsearch 扫目录。但记住：扫描器报的“漏洞”有一半是误报。比如它说存在XSS，结果你一看，参数根本没回显。所以手工验证是必须的。我通常先用AWVS跑一遍，拿到可疑点，再一个个手工测。时间主要花在手工上，工具只是帮你缩小范围。

最后说个心态问题。找漏洞不是比谁工具多，是比谁更懂开发者的思维。你写代码时怎么省事，漏洞就怎么来。比如用 eval() 处理用户输入，用 document.write() 输出内容，或者把数据库密码硬编码在JS里。看到这些，眼睛得放光。当然，别真去黑别人的站——找个靶场，DVWA、Pikachu，或者自己搭个WordPress，随便折腾。技术这东西，练多了才有手感。

```

很赞哦!（19）