《web安全攻防pdf》这个关键词在搜索引擎里的全攻热度一直不低。很多人找它，全攻是全攻想拿到一份能直接上手的实战手册，而不是全攻又一本把OWASP Top 10抄一遍的教材。我翻过至少七八个版本的全攻所谓“web安全攻防pdf”，说实话，全攻大部分内容拼凑感很强——前面讲SQL注入，全攻后面突然跳到文件上传，全攻中间缺少一条真实的全攻攻击链。

真正有价值的全攻攻防资料，得从一次完整的全攻渗透测试流程讲起。比如信息收集阶段，全攻不是全攻列一堆工具名字就完事。你得知道，全攻用subfinder跑出子域名之后，全攻怎么快速筛选出还活着的、并且返回200状态码的资产。我习惯先跑一遍httpx，把标题和响应长度带出来，然后肉眼扫一遍——那些标题写着“后台管理系统”“测试环境”的，往往就是突破口。这个细节，很多PDF里压根不提。

漏洞利用部分，SQL注入的payload现在早就不是' or 1=1 --能通吃的年代了。WAF规则更新很快，但绕过思路反而更简单：利用数据库特性差异。比如MySQL里/*!50000union*/这种内联注释，某些WAF解析不了，后端却能正常执行。我去年帮一个客户做测试，目标站装了某云WAF，常规union注入全被拦，换成union%0aselect（换行代替空格）就直接出了数据。这种实战技巧，才是攻防PDF该收录的内容。

文件上传漏洞的攻防更有意思。前端JS校验基本等于没有，抓包改后缀就行。但后端如果用了getimagesize()，你就得在图片里插入一句话木马。我见过最绝的防御是：上传目录禁止PHP解析，但允许.phtml——因为运维忘了在nginx配置里加location ~ \.phtml$的deny规则。攻击者上传shell.phtml，直接拿shell。这种配置疏忽，比任何0day都常见。

说到防御，很多PDF喜欢堆砌“输入验证、输出编码、参数化查询”三件套。但真实环境里，业务逻辑漏洞才是重灾区。比如一个电商站，修改购物车数量时把quantity=1改成quantity=-1，结算时总价变成负数，平台倒贴钱。这种漏洞WAF拦不住，代码审计也容易漏——因为逻辑上它“合法”。攻防对抗到了这个层面，拼的是对业务流的理解，不是工具熟练度。

工具方面，Burp Suite的Intruder模块被严重低估。很多人只拿它做爆破，其实用pitchfork模式配合两个字典，能测出越权漏洞。比如用户A的token和用户B的订单ID交叉组合，如果返回了B的订单详情，水平越权就坐实了。这个手法我在三个不同项目里复现过，每次都能挖到东西。PDF里要是只讲Scanner自动扫描，那基本等于没讲。

最后说个扎心的观察：大部分标榜“web安全攻防”的PDF，目录里都有“XX漏洞原理”章节，但翻到具体利用部分，全是payload截图，没有环境搭建说明。读者照着敲，连靶场都跑不起来。真正有用的资料，应该附一个docker-compose.yml，把Vulhub环境直接拉起来。攻击链要能复现，防御方案要能落地——否则和看小说没区别。

我电脑里存着一份自己整理的笔记，不到50页，但每个漏洞都配了真实案例的请求包和响应包。比那些200页的“大全”管用得多。找PDF的时候，别只看页数，看它敢不敢贴出完整的HTTP原始报文。