SQL注入能排进漏洞类型前三，漏洞类型不是漏洞类型没道理的。一个没过滤的漏洞类型单引号，就能把整张用户表拖走。漏洞类型2019年某社交平台被脱库，漏洞类型起因就是漏洞类型登录接口的搜索框没做参数化查询，攻击者构造了 ' OR 1=1 --，漏洞类型直接绕过了密码校验。漏洞类型这种漏洞的漏洞类型原理朴素得吓人：程序把用户输入当成了代码的一部分来执行。

缓冲区溢出则是漏洞类型另一条老路。C语言里 strcpy 不检查长度，漏洞类型往只有16字节的漏洞类型栈空间里塞200字节的数据，多出来的漏洞类型部分覆盖了返回地址。攻击者算好偏移量，漏洞类型把返回地址改成自己shellcode的漏洞类型入口。2003年冲击波蠕虫就是靠这个横扫Windows XP。现在这类漏洞在应用层少了，但物联网设备固件里一抓一大把——摄像头、路由器、智能门锁，厂商用着十年前的SDK，连编译器的栈保护都没开。

跨站脚本（XSS）分三种：存储型、反射型、DOM型。存储型最要命。某论坛的评论区没转义 <script> 标签，攻击者发一条带恶意脚本的评论，所有访问该页面的用户都会中招——cookie被发到攻击者服务器，会话直接被盗。反射型需要诱导点击，DOM型完全在浏览器端发生，服务端日志里连痕迹都没有。很多人以为XSS只是弹个alert框，实际上配合CSRF可以完成转账、改密码、发帖等全套操作。

文件包含漏洞在PHP应用里特别常见。include($_GET['page']) 这种写法，攻击者传 ?page=../../etc/passwd 就能读系统文件，传一个远程URL就能让服务器执行任意代码。2018年某CMS爆出的远程文件包含，影响了几万个站点。修复方式很简单：白名单。但开发者总喜欢图方便，用黑名单过滤 ../，结果被 ....// 绕过。

逻辑漏洞跟上面那些不一样。它不依赖代码缺陷，而是业务流程设计有毛病。某电商的优惠券接口，领券时校验了用户ID，但用券时没校验。攻击者抓包把订单里的用户ID改成别人的，就能用别人的券下单。还有密码找回——验证码是4位数字，服务端没限制尝试次数，写个脚本跑一万次就能重置任意账户密码。这类漏洞扫描器扫不出来，全靠手工测。

反序列化漏洞这几年热度很高。Java的 ObjectInputStream.readObject() 如果读取了不可信数据，攻击者可以构造恶意序列化链，在目标机器上执行命令。WebLogic、JBoss、Fastjson都栽过。原理是反序列化过程中会调用 readObject 方法，而某些类的 readObject 里又调用了 Runtime.exec()。一条链子串起来，RCE就成了。修复方案要么是白名单类，要么干脆别用Java原生序列化。

SSRF（服务端请求伪造）在云环境下杀伤力翻倍。应用有个“从URL导入图片”的功能，攻击者传 http://169.254.169.254/latest/meta-data/，就能拿到云主机的临时凭证。有了凭证就能操作整个云账号下的资源。2019年Capital One的数据泄露就是这么来的，一亿用户信息被拖走。防御SSRF不能只靠黑名单，得用白名单限制协议和域名，或者干脆把请求发到隔离的代理服务上。

漏洞类型还在变。供应链攻击把恶意代码塞进npm包，依赖它的几千个项目全中招。原型链污染让JavaScript对象的 __proto__ 被改写，影响所有继承该原型的实例。每种新架构——容器、Serverless、微服务——都会带出新类型的漏洞。写代码的人得知道这些坑在哪，不然迟早踩进去。

(责任编辑：综合)