网络上最普遍的漏洞排行

去年有个做安全的网络朋友给我看了一份内部统计，他们扫描了约两千个中小企业的上最对外系统，结果排第一的普遍漏洞不是SQL注入，也不是漏洞排什么高深的0day，而是网络弱口令。admin/admin、上最root/123456、普遍test/test——这些组合出现在超过三成的漏洞排被扫系统里。听起来离谱，网络但现实就是上最这么朴素。

弱口令常年霸榜，普遍原因也简单：人懒。漏洞排运维图省事，网络装完数据库不改默认密码；员工嫌复杂密码记不住，上最干脆用公司名加个1。普遍攻击者根本不需要写什么exploit，写个脚本批量试就完了。我见过一个案例，某公司的Redis直接暴露在公网，连密码都没设，攻击者进去之后把数据全删了，留了封勒索信。整个过程不到两分钟。

排在弱口令后面的，是未授权访问。这个问题跟弱口令算是亲戚，但不太一样。弱口令好歹还有道门，未授权访问是门压根没装。Elasticsearch、MongoDB、Docker API、Kubernetes的kubelet端口——这些东西默认配置下经常是不需要认证就能访问的。很多人搭完服务，浏览器里能打开，觉得“通了就行”，完全没想过公网上有多少扫描器在24小时不停地找这类目标。有个数据挺吓人：Shodan上暴露的Elasticsearch实例常年维持在几万个以上，其中大部分可以被直接读写。

再往下数，就是Nday漏洞了。不是那种刚爆出来的高级漏洞，而是补丁已经出了半年甚至几年的老漏洞。Log4j2那个事够大了吧？CVE-2021-44228，2021年底爆出来的，按说影响面广、修复方案也明确。但到2023年，仍然有大量系统没打补丁。为什么？因为有些系统太老了，依赖链太深，一动就崩；还有些是压根没人管，上线之后就扔在那了。攻击者最喜欢这种——工具现成的，利用成本极低，一打一个准。

SQL注入排第四。这个漏洞在OWASP榜单上待了二十年了，培训课程讲了一遍又一遍，但就是灭不掉。原因在于它太容易引入了。一个拼字符串的查询，一个没过滤的参数，就出来了。而且很多老代码库里的注入点，开发自己都不知道在哪。我见过一个后台登录框，用户名参数直接拼进SQL，加个单引号就报错。这种系统在互联网上还有多少？没法精确统计，但肯定不少。

文件上传漏洞也得提一笔。很多系统对上传文件的类型校验只做前端，改个后缀就能传webshell。或者校验了MIME类型，但没校验文件内容。攻击者传个图片马，配合文件包含漏洞，照样能执行代码。这类漏洞在CMS和OA系统里特别常见，因为功能多、代码乱、迭代快，安全往往是最先被牺牲的。

跨站脚本（XSS）排第六左右。反射型、存储型、DOM型，花样不少。但说实话，XSS的利用门槛比前面几个高一些，需要钓鱼或者配合其他手段。不过存储型XSS在社交类产品里杀伤力很大，一个恶意脚本存进评论区，所有访问该页面的人都中招。2018年某短视频平台就出过这事，蠕虫式传播，几小时内感染了大量账号。

越权访问也值得说。水平越权、垂直越权，本质上是权限校验没做或者做漏了。比如改个URL里的用户ID就能看别人的订单，或者普通用户能调到管理员接口。这类漏洞在业务系统里特别多，因为权限逻辑复杂，测试容易遗漏。而且它不像SQL注入那样有明确的攻击特征，很多时候得靠人工去试。

把这些排在一起看，会发现一个规律：最普遍的漏洞往往不是技术含量最高的，而是最容易被忽视的。默认配置、懒省事、赶工期、没人管——这些才是漏洞滋生的土壤。攻击者不需要多聪明，他们只需要比防守方更有耐心。

很赞哦!（9376）