web攻防

凌晨两点，我盯着屏幕上的404页面，突然意识到这是个陷阱。不是网站崩了，是对方故意让我看到这个错误码——真正的后台入口藏在响应头的X-Debug字段里。那次渗透测试让我明白，web攻防从来不是代码对决，而是心理博弈。

SQL注入早就不流行了。现在最狠的攻击是“逻辑绕过”。去年某电商平台搞促销，规则是“新用户首单减50”。有人注册了200个账号，每个账号用同一张银行卡支付，系统居然全通过了。开发人员把“新用户”判断写在了前端，后端只校验手机号唯一性。你看，漏洞不在数据库，在业务流程的信任边界。

防守方也在进化。WAF（Web应用防火墙）能拦下99%的脚本小子，但拦不住“低慢速”攻击。有个金融客户被拖库，日志显示攻击者每秒只发一个请求，每个请求都伪装成正常浏览行为，持续了47天。最后是运维发现某个IP的Cookie里有个永远不变的“prefers-color-scheme: dark”参数——正常人不会用curl去访问深色模式页面。

我见过最讽刺的案例。某政府网站把后台密码改成“Admin@123”，因为觉得没人猜得到，结果被扫描器三秒破解。安全审计报告写得天花乱坠，实际上连最基本的文件上传校验都没做。攻击者上传了一张带PHP后门的图片，直接拿到服务器权限。这就像给银行金库装了虹膜识别，却把备用钥匙贴在门框上。

真正的攻防在细节里。比如HTTP头部的Host字段——有些开发者用Host拼内部API地址，结果被DNS rebinding攻击打穿内网。再比如JSONP接口的callback参数，如果不过滤特殊字符，就是现成的XSS发射器。这些坑，教科书上不会写，只有被黑过的人才懂。

说点乐观的。现在AI安全助手能实时分析流量特征，把攻击行为扼杀在摇篮里。但攻击者也在用大模型生成钓鱼邮件，语法完美到让人挑不出毛病。道高一尺魔高一丈，本质是双方在“成本”上较劲——谁让对方检测成本更高，谁就赢。

最后说个真实感受。搞web安全久了，人会变得多疑。看到登录框会想“验证码能不能复用”，看到上传按钮会琢磨“文件名能不能带反斜杠”。但这份多疑救过我的命——有次自查时发现，自己写的代码里藏着个未闭合的HTML注释，差点把后台管理员的会话ID泄露出去。

攻防没有终点。今天修好的漏洞，明天可能换个姿势卷土重来。但正是这种猫鼠游戏，逼着每个从业者保持清醒：你永远不知道下一个请求包，是普通用户还是带着恶意的扫描器。保持敬畏，别把“应该没问题”挂在嘴边。