Web常见十大漏洞

SQL注入排第一，漏洞不是漏洞因为技术含量高，而是漏洞因为太常见了。去年某电商平台被拖库，漏洞三千多万条用户信息裸奔在黑市上，漏洞事后调查发现攻击入口就是漏洞一个没做参数化查询的搜索框。开发图省事，漏洞把用户输入直接拼进SQL语句，漏洞等于把家门钥匙交给了小偷。漏洞

XSS跨站脚本是漏洞另一种“借刀杀人”。攻击者不直接碰服务器，漏洞而是漏洞往页面里塞一段恶意JavaScript。你打开一个正常网站，漏洞脚本在你浏览器里偷走Cookie、漏洞篡改页面、漏洞甚至模拟转账操作。我见过最骚的操作是某论坛把攻击脚本藏在用户签名档里，管理员一登录，后台权限就没了。

文件上传漏洞听着土，杀伤力一点不小。头像上传功能没做类型校验，攻击者传了个PHP文件上去，服务器直接执行。去年某政府网站被挂马，就是通过一个图片上传接口传了webshell。文件上传的坑在于，很多人以为检查了扩展名就安全，却忘了还能改文件头绕过检测。

越权访问分两种：水平越权是你能看别人的订单，垂直越权是普通用户能调管理员接口。这类漏洞靠逻辑测试不容易发现，得靠渗透测试一个个试。有个真实案例：某银行App改个用户ID参数就能查他人余额，这漏洞在金融行业属于致命级。

CSRF攻击更阴险，它利用你的登录状态干坏事。比如你在论坛发了个帖子，攻击者诱导你点击一个恶意链接，实际上是在你不知情下提交了修改密码的请求。CSRF的防御很简单——加个随机token，但很多老旧系统至今没做。

命令注入多出现在运维后台。攻击者在输入框里塞`;rm -rf /`之类的命令，服务器就照做了。核心问题是系统调用了shell却不做过滤。某云厂商曾因管理面板的命令注入漏洞，被人在生产环境执行了挖矿程序。

XXE外部实体注入算是比较新的攻击面，主要针对XML解析器。攻击者构造恶意XML文档，让服务器去读取本地文件或发起内网请求。很多Java老项目还在用不安全的XML解析库，一打一个准。

反序列化漏洞是Java和PHP高手的玩具。攻击者提交一个精心构造的序列化对象，服务器反序列化时触发恶意代码。这类漏洞原理复杂，但工具化程度高，网上有现成的payload生成器。最近几年爆出来的高危漏洞，不少都跟反序列化有关。

不安全的配置听着像管理问题，实际是技术债。默认密码不换、目录列表可访问、错误信息泄露堆栈、多余端口对外开放——每一条都是攻击者的垫脚石。我见过一个内部系统，管理后台密码是admin/admin，用了五年没改过。

最后是敏感信息泄露。不是指数据库被拖，而是开发自己把密钥、密码、内网IP写在代码里推上GitHub。爬虫会扫到这些仓库，攻击者直接白嫖。某大厂曾把AWS密钥提交到公开仓库，被薅走几十万美金的云资源。

这十个漏洞，没有一个是“高科技”，全是基础安全没做到位。别指望上WAF、装防火墙就完事，代码层面的审查和测试才是根本。安全不是买来的，是写出来的。