渗透测试十大漏洞

去年某次攻防演练，渗透一个看似不起眼的测试SQL注入点，最后把整台域控给端了。大漏洞防守方复盘时才发现，渗透入口不过是测试个老旧的资产查询接口，参数过滤只在前端做了做样子。大漏洞这种事在渗透测试里太常见了——真正致命的渗透漏洞，往往不是测试那些听起来高大上的零日，而是大漏洞人人都知道、却没人认真修的渗透老毛病。

先说注入类漏洞。测试SQL注入排第一没人反对吧？大漏洞我见过太多开发觉得用了ORM就万事大吉，结果一个拼接的渗透order by参数直接破防。注入的测试本质是数据和指令没分家，你让用户输入的大漏洞东西跑进了代码逻辑里，那就别怪人家顺着管子爬进来。命令注入、LDAP注入、XPath注入，换个场景而已，根子都一样。

跨站脚本（XSS）这玩意儿，很多人觉得“不就是弹个窗嘛”。真不是。存储型XSS配合CSRF，能悄无声息地替管理员发请求、改配置。我印象很深的一次，某后台的留言板过滤了script标签，但没管onerror属性，一个img标签就把cookie送走了。前端框架用多了，大家反而对DOM型XSS更陌生，觉得React帮你转义了就安全，可dangerouslySetInnerHTML这种口子一开，照样中招。

文件上传漏洞，说到底是信任问题。你信任了用户传上来的文件名、文件类型、文件内容。改个Content-Type就能绕过检测的事，至今还在发生。更离谱的是有的系统上传后直接给个静态路径能访问，连解析都省了。我一般会试试传个.htaccess或者web.config，运气好直接拿shell。还有那种把上传目录放在Web根目录下，还允许执行脚本的，简直是在门口放钥匙。

越权访问分两种：水平越权和垂直越权。水平越权就是A用户能看B用户的订单，改个ID就行。垂直越权是普通用户干了管理员的事。这类漏洞靠工具很难扫出来，得手工测。我习惯用两个账号交叉对比，把每个请求的ID、角色参数都替换一遍。有些系统前端隐藏了按钮，后端接口却裸奔，这种“前端安全”的笑话太多了。

敏感信息泄露经常被低估。报错页面回显数据库版本、路径、SQL语句，调试接口没关，.git目录能直接下载，Swagger文档暴露所有接口……这些信息单独看没什么，拼起来就是一张完整的地图。有次我通过phpinfo页面拿到了绝对路径，再配合文件包含漏洞，直接读到了数据库配置文件。

CSRF（跨站请求伪造）现在被SameSite Cookie拦掉不少，但老系统还是重灾区。关键操作没加token，或者token可预测，那就等于没设防。我测过一个后台，改密码的请求只验证了Cookie，连旧密码都不用填，构造个表单就能让管理员中招。

SSRF（服务端请求伪造）这两年在云环境里特别吃香。你让服务器去访问一个URL，它真去了，结果访问到了内网的元数据接口，AK/SK直接到手。云厂商的169.254.169.254这个地址，不知道多少渗透测试报告里出现过。绕过手法也多，DNS重绑定、302跳转、进制转换，防不胜防。

反序列化漏洞，Java和PHP里都常见。本质是把不可信的数据还原成了对象，攻击者构造恶意对象就能执行代码。Java的ysoserial工具链一跑，只要目标环境有对应的库，基本就通了。这类漏洞危害极大，但利用门槛也高，得对目标的技术栈足够熟悉。

逻辑漏洞最考验渗透测试者的思维。比如验证码可复用、短信轰炸、支付金额篡改、密码重置token可爆破。没有固定payload，全靠对业务的理解。我见过一个电商网站，优惠券可以叠加使用，而且叠加次数没限制，一块钱能买一台手机。这种漏洞扫描器永远发现不了。

最后一个，弱口令和默认凭证。听起来很low，但每次护网行动，靠弱口令拿下的边界设备都不在少数。admin/admin、admin/123456、root/root，这些组合在内外网资产里一抓一大把。更别说那些默认开启的Redis、MongoDB、Elasticsearch，连密码都没有，直接写公钥或者导数据。

渗透测试做久了会发现，漏洞排行榜年年变，但核心就那么几类。工具能帮你覆盖广度，深度还得靠手工和脑子。别迷信扫描器报的“高危”，也别轻视那些“信息泄露”。真正的突破口，往往藏在你觉得“这应该没问题”的地方。