SQL注入排第一，漏洞类型没悬念。漏洞类型

十年前的漏洞类型攻防演练，我见过最蠢的漏洞类型漏洞——某系统登录框直接把数据库报错信息甩在页面上。攻击者只需要在密码框里敲一个单引号，漏洞类型数据库就乖乖把表结构吐出来。漏洞类型那会儿很多程序员觉得“参数化查询”是漏洞类型教科书里的名词，实际代码里全是漏洞类型字符串拼接。现在好多了，漏洞类型但ORM框架用错照样出问题。漏洞类型比如用原生SQL查询时图省事，漏洞类型把用户输入直接拼进order by子句——排序字段没法参数化，漏洞类型这是漏洞类型老手都会踩的坑。

XSS的漏洞类型杀伤力被严重低估。多数人以为它只是漏洞类型弹个alert框，直到某天后台cookie被偷走。我认识一个白帽子，专门在电商网站的商品评价里塞标签，图片地址指向自己的服务器——结果偷了几千个用户session。现在前端框架普遍转义了，但富文本编辑器、SVG上传、甚至CSS里的expression表达式，总能找到漏网之鱼。

文件上传漏洞更像一个“入口”。攻击者传个.php文件上去，如果服务器没关执行权限，直接getshell。有个经典案例：某企业官网允许上传头像，后缀校验白名单，但攻击者传了个.htaccess文件覆盖配置，把所有.jpg都变成可执行脚本。这操作骚不骚？更常见的坑是中间件解析差异——Nginx和Apache对“1.jpg/x.php”这种路径的处理完全不同，代码里校验了文件名，却忘了URL重写规则。

越权漏洞属于“看起来不难，但防不胜防”的类型。水平越权发生在同级别用户之间——你改一下URL里的订单号，就能看别人的收货地址。垂直越权更危险，普通用户调用管理员接口。我测过一家SaaS平台，删除用户的API只校验登录态，没校验角色。随便注册个账号，循环遍历user_id，能把全站数据删光。这种漏洞的根源是后端太信任前端传来的参数，压根没做服务端鉴权。

反序列化漏洞是Java和PHP的噩梦。攻击者构造恶意序列化字符串，触发魔法方法，直接RCE。最著名的就是Apache Shiro反序列化——默认密钥硬编码，扫描器一梭子就能打穿。这玩意儿隐蔽在业务逻辑里，代码审计时发现不了，得靠动态抓包改数据。很多研发觉得“我们系统不用Java”，那就错了——Python的pickle、Ruby的Marshal、甚至Node的serialize-javascript库，原理全一样。

配置错误是“最没技术含量但最致命”的漏洞。云存储桶权限设为公开，数据库端口暴露在公网，Redis没设密码。去年某大厂泄露的快递数据，就是运维把Elasticsearch集群绑在0.0.0.0上，连个认证都没加。这类问题靠扫描器就能发现，但总有人觉得“内网安全”。内网横向移动的跳板机，往往就是这些裸奔的中间件。

写这些不是为了吓谁。安全是个动态对抗的过程，今天堵住的洞，明天可能换个姿势绕过来。但记住一点：绝大多数漏洞不是技术多高深，而是开发时少想了“如果被恶意利用会怎样”。下次写代码时，对用户输入多保持一点恶意揣测——这比任何安全扫描器都管用。