漏洞类型都包括哪些

漏洞这东西，漏洞类型说白了就是都包系统里那些“本不该这样”的地方。你写代码时少写了一个等号，漏洞类型或者配置服务器时多开了一个端口，都包都可能变成别人眼里的漏洞类型突破口。搞安全的都包人整天跟这些漏洞打交道，但你要问漏洞到底分几类，漏洞类型不同标准下答案不一样。都包我按自己踩过的漏洞类型坑和实际见过的案例来捋一捋。

最直观的都包分法，是漏洞类型按漏洞出现在哪儿。软件本身有漏洞，都包比如一个输入框没过滤特殊字符，漏洞类型用户输入 ' OR 1=1 -- 就能把数据库里的都包东西全拽出来。这就是漏洞类型SQL注入，早年很多网站栽在这上面。2011年索尼被黑，泄露了上亿用户数据，根源就是几个没做好过滤的页面。硬件也有漏洞，比如Intel的Meltdown和Spectre，CPU设计层面的缺陷，让攻击者能偷看内存里的敏感数据。这种漏洞修起来特别麻烦，因为硬件不像软件那样打个补丁就行，很多时候得靠微码更新或者操作系统绕路。

网络层面的漏洞更常见。防火墙规则写错了，把内网数据库端口暴露到公网；或者路由器固件太老，默认密码没改。2016年Mirai僵尸网络就是扫描物联网设备，用几十个默认口令列表登进去，控制了几十万台摄像头和路由器发起DDoS。那会儿我还在做运维，半夜被叫起来查流量，发现机房出口被垃圾包塞满，就是因为一批设备没改出厂密码。

按漏洞的成因分，又有几大类。输入验证类，就是刚才说的SQL注入、XSS跨站脚本、命令注入。XSS特别烦，你在评论区发一段 <script>alert(1)</script>，如果网站没转义，所有看这条评论的人浏览器都会执行它。2018年British Airways的网站被注入恶意脚本，38万笔支付卡信息被窃，就是XSS的变种。

认证和授权类漏洞也很多。认证是“你是谁”，授权是“你能干什么”。弱密码、会话固定、JWT令牌没校验签名，都属于认证问题。授权漏洞更隐蔽，比如一个普通用户改一下URL里的ID，就能看到别人的订单——这叫水平越权。我见过一个后台系统，把 user_id=123 改成 user_id=124，直接进了别人的账户，连密码都不用。

逻辑漏洞是另一回事。代码本身没语法错误，过滤也做了，但业务流程被绕过。比如电商网站搞促销，满100减50，你买100块东西，用优惠券减50，再退掉其中60块的商品，结果不仅没花钱，还倒赚10块。这种漏洞扫描器扫不出来，得靠人脑去推演。2019年拼多多被薅羊毛，就是优惠券逻辑没考虑并发和退款叠加，一夜损失上千万。

还有配置类漏洞。开发环境忘了关调试接口，生产环境开着 /debug 路径，堆栈信息直接暴露给攻击者。或者云存储桶权限设成公开可写，谁都能往里传文件。2017年Verizon和Accenture都因为AWS S3桶配置错误，泄露了海量客户数据。这种漏洞不怪代码，怪运维和开发之间的沟通断层。

零日漏洞听着吓人，其实只是“还没补丁的漏洞”。一旦厂商发布修复，它就变成N日漏洞。真正危险的是那些没人发现、或者发现了但没公开的。Stuxnet蠕虫用了四个零日漏洞，专门破坏伊朗核设施离心机，这种级别的攻击不是普通黑客玩得起的。

漏洞分类没有绝对标准，CWE、OWASP Top 10、CVSS评分各有一套。但核心就一句：任何让系统偏离设计意图、且能被利用来造成危害的东西，都是漏洞。你写代码时多问一句“如果用户乱填会怎样”，能挡掉一大半麻烦。

很赞哦!（49）