网页漏洞利用UR

2023年某电商平台的网页一次渗透测试中，安全团队发现商品详情页的漏洞利用`id`参数未做类型校验，直接拼接进SQL查询。网页输入`1' AND 1=1--`返回了整张表的漏洞利用数据，输入`1' UNION SELECT username,网页password FROM users--`直接把管理员密码哈希拖了出来。这不是漏洞利用什么高深技术，就是网页一个典型的SQL注入，从发现到利用不到十分钟。漏洞利用

网页漏洞利用的网页核心逻辑就一句话：找到用户输入被当成代码执行的地方。浏览器和服务器之间来回传递的漏洞利用每一个参数，URL里的网页查询字符串、表单字段、漏洞利用Cookie值、网页HTTP头，漏洞利用都是网页潜在入口。开发者如果信任了这些输入，攻击者就能借刀杀人。

拿XSS来说。某论坛的搜索功能把关键词直接输出到页面，没有转义。搜索``，弹窗出现。这意味着任何用户点开构造好的链接，脚本就在他们浏览器里跑起来了。盗Cookie、伪造请求、键盘记录，想干什么干什么。反射型XSS需要诱导点击，存储型XSS更狠——发一条带恶意脚本的评论，所有浏览该页面的人自动中招。2018年某社交平台就因为评论区的存储型XSS，导致大量用户账号被劫持。

文件上传漏洞的利用更直接。某CMS的头像上传功能只检查了Content-Type，攻击者把PHP木马改名为`avatar.jpg`，抓包把Content-Type改成`image/jpeg`，上传成功。然后访问`/uploads/avatar.jpg`——服务器直接解析执行，拿到webshell。修复方式也简单：白名单校验扩展名、重命名文件、把上传目录设为不可执行。但很多开发者就是懒得做。

CSRF是另一种思路。不需要窃取用户凭证，而是借用用户已登录的状态。某银行转账接口没有CSRF Token，攻击者构造一个页面，里面藏一个自动提交的表单，action指向银行转账接口，收款人填自己的账号。受害者登录网银后访问这个页面，钱就转走了。浏览器自动带上Cookie，服务器以为是用户本人操作。防御手段是加Token、校验Referer、关键操作要求二次验证。

SSRF这几年越来越常见。攻击者让服务器去访问内网资源。某图片加载功能接受URL参数，输入`http://169.254.169.254/latest/meta-data/`，直接读取云服务器的元数据，拿到临时凭证。再配合内网扫描，Redis、MySQL、Elasticsearch，只要没设密码，全部沦陷。SSRF的可怕之处在于，它把外网攻击者变成了内网跳板。

命令注入也值得提。某运维平台有个ping功能，输入IP地址执行系统命令。输入`127.0.0.1; cat /etc/passwd`，服务器直接把密码文件内容返回。分号、管道符、反引号，都是命令拼接的入口。根本原因是用了`system()`或`exec()`直接拼接用户输入。正确做法是用参数化调用，或者严格过滤特殊字符。

漏洞利用工具已经高度自动化。sqlmap跑一遍就能确认注入点并拖库，Burp Suite的Intruder模块可以批量fuzz参数，XSStrike能自动绕过WAF。但工具再强，核心还是理解漏洞原理。知道`' OR '1'='1`为什么能绕过登录，知道``为什么能执行，比会敲命令重要得多。

防御没有银弹。输入验证、输出编码、参数化查询、最小权限原则，每一条都是老生常谈，但每一条都有人不做。安全不是加个WAF就完事，WAF能被绕过，代码里的漏洞才是根。写代码的时候多问一句：这个输入如果换成恶意内容，会发生什么？