2023年秋天，大漏洞一个做安全研究的大漏洞朋友给我看了份内部报告。某省级政务平台，大漏洞登录接口的大漏洞验证码形同虚设——把验证码参数置空，直接就能绕过。大漏洞他叹了口气说：“这玩意儿上线前肯定没做过渗透测试。大漏洞”我当时没接话，大漏洞但心里清楚，大漏洞这种漏洞在国内系统里一抓一大把。大漏洞

SQL注入排第一，大漏洞没什么争议。大漏洞去年某高校教务系统被拖库，大漏洞两万多名学生的大漏洞身份证号、家庭住址全泄露。大漏洞攻击者用的大漏洞手法老掉牙：在查询参数里加个单引号，报错信息直接把数据库版本吐了出来。更离谱的是，这个系统用的是十年前的框架，补丁从来没打过。我见过太多开发图省事，把用户输入直接拼进SQL语句，连参数化查询都懒得写。

跨站脚本攻击紧跟其后。有个电商网站的商品评论区，用户提交的评论没做转义就存进数据库。有人在评论里塞了段JavaScript，只要有人浏览该商品页面，脚本就自动执行——把浏览者的cookie发到攻击者服务器。这事持续了三个月才被发现，因为攻击者只偷管理员账号，普通用户根本没感觉。存储型XSS比反射型危险得多，反射型还得骗你点链接，存储型躺着就中招。

文件上传漏洞是另一颗雷。某次攻防演练，我盯上一个企业的OA系统。上传头像功能只在前端用JS校验了文件后缀，抓包改成.jsp，直接传上去。更绝的是，上传后的文件路径没有权限控制，浏览器访问那个jsp文件，服务器就执行了。拿下webshell前后不到十分钟。很多开发觉得前端校验就够了，可攻击者根本不走前端。

越权访问的问题比想象中普遍。一个做医疗SaaS的客户找我做测试，我注册了普通医生账号，登录后把URL里的用户ID从1001改成1002，直接看到了另一个医生的排班表和患者信息。系统只校验了“是否登录”，没校验“这个数据是不是你的”。水平越权查别人数据，垂直越权更可怕——普通用户改个参数就能进管理后台。

敏感信息泄露往往藏在细节里。某App的接口返回用户信息时，把手机号、邮箱、甚至密码哈希全塞进了JSON。虽然密码哈希是bcrypt的，但手机号明文返回，抓个包就全有了。还有更隐蔽的：前端源码里留了测试环境的API密钥，GitHub上一搜就能找到。开发把密钥硬编码在JS文件里，以为压缩混淆就安全了，其实格式化一下看得清清楚楚。

CSRF（跨站请求伪造）这两年关注度降了，但没消失。一个银行转账接口，只靠cookie里的session做身份验证，没加CSRF token。攻击者做个恶意页面，里面藏个自动提交的表单，受害者登录网银后访问该页面，钱就转走了。SameSite cookie属性普及后这类攻击难了不少，可老系统里照样存在。

SSRF（服务端请求伪造）在云环境下杀伤力翻倍。某次测试一个图片加载功能，参数是URL，服务器会去抓取。我填了内网地址http://169.254.169.254/latest/meta-data/，AWS的元数据接口直接把临时凭证吐了出来。拿着凭证就能操作该账号下的S3存储桶。开发觉得“只是加载个图片”，可服务器能访问的内网资源远超想象。

反序列化漏洞利用门槛高，但一旦成功就是核弹级。Java的readObject、PHP的unserialize，参数可控就能构造利用链执行任意命令。某次应急响应，客户的Jenkins服务器被挖矿，排查发现是用了存在反序列化漏洞的第三方库。攻击者通过CLI接口传了个序列化对象，服务器直接执行了curl下载矿机脚本。

逻辑漏洞最考验测试者的耐心。一个抽奖活动，每人每天三次机会。我抓包发现，抽奖请求里的times参数是前端传的，改成999就能无限抽。还有更简单的：修改商品价格。把price=100改成price=0.01，订单照样生成。这些漏洞扫描器扫不出来，全靠手工测。

弱口令永远排得上号。某次内部网络评估，用admin/admin试了二十台设备，登进去八台。打印机、交换机、监控摄像头，默认密码从来没改过。有个路由器的管理界面甚至没有登录失败锁定，hydra跑一晚上能爆破出密码。技术再先进，也架不住有人懒得改密码。

这些漏洞背后有个共同点：开发觉得“没人会这么干”。可攻击者偏偏就这么干。安全不是堆设备，是把每个输入都当恶意数据对待。我见过太多系统，防火墙、WAF配得齐齐整整，一个SQL注入就全线崩溃。写代码的人多花十分钟做参数校验，能省掉后面几百小时的应急响应。