凌晨两点，属于某电商平台的网络安全工程师老周盯着屏幕上的告警日志，后背发凉。安全攻击者利用一个看似无害的漏洞图片上传功能，绕过了所有WAF规则，种方直接拿到了服务器root权限。属于事后复盘时发现，网络漏洞根源竟只是安全开发人员少写了一个文件类型校验。这类事件每天都在发生，漏洞而网络安全漏洞的种方归类方法，业内早有共识——按成因划分，属于大致有六种。网络

第一种是安全注入类漏洞。SQL注入是漏洞最典型的代表，攻击者在输入框里塞一段精心构造的种方数据库查询语句，就能让后台乖乖交出用户密码。2017年Equifax数据泄露，1.4亿美国人信息被盗，根子就是Apache Struts框架的一个OGNL注入漏洞。这类漏洞的可怕之处在于，它直接攻击的是代码逻辑本身，而非某个特定配置。

第二种是跨站脚本攻击，简称XSS。攻击者把恶意脚本藏进网页，等普通用户访问时，脚本就在他们的浏览器里悄悄运行。2019年，某社交平台曾爆出存储型XSS漏洞，攻击者只需发一条带恶意代码的帖子，所有看过这条帖子的用户，其cookie都会被窃取。XSS漏洞之所以泛滥，是因为很多开发者想当然地认为，只要过滤了尖括号就万事大吉，却忽略了事件属性、编码绕过等变种。

第三种是文件上传漏洞。开头提到的电商平台案例就属于此类。攻击者上传一个伪装成图片的PHP文件，服务器如果没严格校验文件头、MIME类型和扩展名，这个文件就会被当作可执行脚本解析。这类漏洞在内容管理系统和论坛中尤其常见，因为上传功能太普遍，而开发者的安全意识却常常滞后。

第四种是越权漏洞。分水平越权和垂直越权两种。水平越权是普通用户A能访问用户B的订单信息，只需改一下URL里的ID参数。垂直越权更危险——低权限用户直接调用了管理员接口。我见过一个内部OA系统，员工只需把请求头里的role字段从“staff”改成“admin”，就能看到全公司薪资。这种漏洞源于后端没做二次权限校验，前端隐藏按钮根本挡不住懂技术的人。

第五种是反序列化漏洞。Java、Python等语言在把对象转换成字节流存储或传输后，反序列化时如果没有过滤危险类，攻击者就能构造恶意载荷触发远程代码执行。2015年Apache Commons Collections的反序列化漏洞，让无数Java Web应用一夜之间暴露在风险中。这类漏洞排查起来极难，因为问题出在第三方库的深层依赖里。

第六种是逻辑漏洞。它不涉及任何技术高深的内容，纯粹是业务设计缺陷。比如某银行的转账接口，攻击者发现先转出再撤销，能在余额不足时套现。再比如某电商平台的优惠券系统，同一张券通过并发请求可以重复使用。这类漏洞最气人——开发者觉得代码写得天衣无缝，但业务规则本身就是个筛子。

当然，这六种分类并非互斥。一个漏洞可能同时具备SQL注入和越权的特征，也可能由XSS升级为CSRF攻击链。分类只是为了便于理解和防御，真正的攻防较量，永远在分类框架之外。老周后来在复盘报告里写了句话：“漏洞从来不是代码里的bug，而是人类思维的盲区。”这话我深以为然——每一种漏洞背后，都对应着某个开发者在某个瞬间的想当然。