网站存在什么漏洞

我上周帮朋友排查一个电商网站，网站后台登录框居然能直接跑SQL语句。漏洞输入`admin' or 网站'1'='1`，密码框留空，漏洞回车——进去了。网站后台管理界面赫然在目，漏洞订单、网站用户表、漏洞支付记录，网站全裸奔在公网上。漏洞这网站日活三千，网站做了三年，漏洞连最基本的网站参数化查询都没做。

这绝不是漏洞孤例。我见过太多网站，网站漏洞就摆在明面上，像没关的窗户。

最普遍的是SQL注入。开发图省事，字符串拼接查询条件，用户输入直接进数据库。攻击者根本不需要多高深的技术，拿sqlmap跑一遍，表结构全出来。更可怕的是很多程序员到现在还在犯这错，尤其是那些用老框架、或者赶工期临时拼的接口。我认识一个安全测试的朋友，他说接手的渗透测试项目里，十个有七个能直接注入出管理员密码的哈希值。

XSS（跨站脚本）也泛滥成灾。论坛、评论区、搜索框，只要没过滤输出，攻击者就能塞一段script进去。偷cookie、劫持会话、弹假登录框，花招多得很。去年有个社交平台爆出存储型XSS，用户只要点开某条恶意动态，账号就自动发广告。更阴的是，这种攻击能持续几个月不被发现，因为脚本藏在页面角落里，普通用户根本看不出来。

文件上传漏洞则是另一个重灾区。很多站点允许用户传头像、传附件，但没检查文件类型。攻击者传个`.php`或者`.jsp`文件上去，然后通过URL直接访问，服务器就成傀儡了。我见过最离谱的一个案例：某企业内部系统允许上传Excel，开发只校验了扩展名，没校验MIME类型，攻击者直接传了个WebShell上去，拿到服务器权限，内网横向渗透，把财务系统都拖垮了。

还有逻辑漏洞，这玩意儿比技术漏洞更恶心。比如支付环节，改个价格参数就能0元购。比如验证码不失效，同一个验证码能反复用，配合爆破工具无限尝试。比如找回密码的步骤能跳过，直接改密。这些不需要多高深的技术，靠的是对业务流程的观察。我有个朋友就干过这事——在某订票平台，他注册两个账号，A账号下单后不支付，B账号去支付A的订单，居然成功了。平台压根没校验订单归属。

别以为漏洞都藏在深处。最基础的弱口令，至今还是头号杀手。`admin/123456`、`test/test`、`root/root`，我扫过不少政府网站的后台，用默认口令直接登进去的，一抓一大把。很多管理员觉得"没人知道我密码"，实际上攻击者手里有现成的字典库，几万个常用密码跑一遍，命中率高得吓人。

这些漏洞的共同点是什么？开发时没把安全当回事。赶功能、赶上线，安全测试被砍掉，或者干脆外包给不专业的人做。等出事了才补救，往往已经晚了——数据被拖库、页面被篡改、服务器被挖矿，损失惨重。

说句难听的，现在互联网上90%的网站，只要有人认真盯着，半小时内都能找到可被利用的入口。不是技术多高深，是太多人压根没设防。你随便找个中小型企业的官网，试试在登录框输入`' or 1=1--`，大概率有惊喜。