常见的攻击WEB攻击有哪些

SQL注入排第一，没悬念。攻击十年前它靠‘万能密码’打天下，攻击现在依然活跃——某电商平台被拖库，攻击几百万条用户数据挂在暗网叫卖，攻击事后排查，攻击攻击者只是攻击在登录框里塞了句' OR 1=1 --。开发人员把参数直接拼进SQL语句，攻击数据库就成了人家的攻击后花园。

XSS（跨站脚本）更阴。攻击它不偷数据库，攻击专盯浏览器。攻击攻击者把恶意脚本藏在评论区、攻击昵称框，攻击你一点开页面，攻击脚本就在你电脑上跑起来，偷Cookie、劫持会话、甚至录下键盘输入。我见过一个论坛，版主点开一条私信，账号当场被盗，攻击者用他的号发了一整版赌博广告。那帖子现在还留着，成了反面教材。

CSRF（跨站请求伪造）是另一种思路——骗你“自愿”执行操作。你登录着银行账户，攻击者发来一个带恶意请求的链接，你点下去，转账请求就发出去了。它不偷你的密码，而是借你的身份。早年某社交平台出过事，用户点开一张图片，自动发了一条带病毒链接的状态，几百人接连中招。

文件上传漏洞则像个后门。头像、附件、简历，凡是能传文件的地方都可能出问题。攻击者传一个伪装成图片的PHP脚本，服务器一旦执行，整个站点就沦陷了。有个真实案例：某政府网站被植入后门，持续了两年多，期间数据被反复读取，直到安全团队做渗透测试才发现。原因仅仅是上传目录没限制执行权限。

SSRF（服务端请求伪造）这几年特别火，因为云架构普及了。攻击者让服务器去访问内网地址，比如http://127.0.0.1:6379，直接打Redis。很多公司把内部服务暴露在公网，却忘了服务器本身能访问内网。某云厂商出过事故，攻击者通过一个图片处理接口，扫出了内网几百台机器，最后拿了台数据库服务器。

目录遍历和路径穿越，听着老土，但依然有效。攻击者用../往上跳目录，读取敏感文件。某招聘网站泄露了服务器上的配置文件，里面带着数据库密码——就因为这个站点没过滤用户输入的文件名。

暴力破解和撞库，属于“笨但有用”。密码字典跑一遍，总有人用123456或生日。撞库更省事——你拿另一家泄露的账号密码来试，很多人所有网站都用同一个密码，一撞一个准。有个程序员朋友，GitHub上的密码泄露了，结果他的网盘、邮箱、甚至服务器SSH全被登进去，因为密码全一样。

别以为小站没人看。攻击者用自动化工具扫全网，找漏洞就像捞鱼，捞到谁算谁。我见过一个只有几百用户的博客，被植入挖矿脚本，CPU飙到100%，博主还以为是插件问题。

这些攻击的本质，大部分是“信任了不该信任的输入”。用户输入没过滤、参数没校验、权限没收紧。防御手段不复杂——参数化查询、转义输出、CSRF Token、上传白名单、最小权限原则。但每一条都有人踩坑。

写代码时多问一句：如果这个字段被塞进一段恶意代码，会怎样？如果这个接口被外部直接调用，会发生什么？答案往往让人后背发凉。