SQL注入这玩意儿，国开课本上讲了八百遍，应用安真到自己动手搭环境测试，全防感受完全不一样。护课

国开这门《web应用与安全防护》的程实实训，说白了就是国开把我们扔进一个模拟的靶场环境里，让自己去当一回攻击者，应用安再当一回防守方。全防刚拿到实训手册的护课时候，我扫了一眼，程实觉得无非就是国开照着步骤点点鼠标。结果第一天就卡住了——搭建DVWA环境时PHP版本和MySQL的应用安兼容问题折腾了我整整一个下午。教程里轻描淡写一句“配置好运行环境”，全防实际操作用的护课是phpstudy集成包，Apache端口被占、程实数据库密码对不上，这些破事教程里一个字没提。

真正开始做SQL注入实验，反而顺利了。把安全等级调到Low，在输入框里敲一个 ' OR 1=1 --，页面唰地一下把整张用户表全吐出来了。那一瞬间我盯着屏幕愣了几秒。平时写代码，SQL语句都是参数化查询，老师反复强调不要拼接字符串，但当你亲眼看到一行输入就能把后台数据库扒光，那种冲击力跟考试背概念完全是两码事。

XSS跨站脚本这块更有意思。存储型XSS的实验中，我在留言板里插入了一段 <script>alert('xss')</script>，提交之后每次刷新页面都弹窗。然后我把安全等级切到Medium，同样的payload被过滤了——但过滤方式很蠢，它只匹配了 <script> 这个标签。我换成 <img src=x onerror=alert(1)>，照样弹。这就很真实了，现实中的防护经常也是这样，黑名单永远追不上攻击者的脑洞。

CSRF那部分我做得比较快，因为之前自己写项目时踩过坑。实训里模拟的是银行转账场景，构造一个恶意页面，诱导已登录用户点击链接就完成转账。原理不复杂，但亲手把那个隐藏表单写出来、看着余额数字变化的时候，还是觉得这漏洞挺阴的。防御手段倒是清晰，加token、验证Referer，实训报告里我写了这两种方案，但心里清楚实际项目中很多团队连token都懒得加。

文件上传漏洞的实验让我印象最深。Low等级下直接传一个.php文件就能拿到webshell，Medium等级检查了Content-Type，但用Burp Suite抓包改一下MIME类型就绕过了。High等级做了白名单校验，只允许jpg/png/gif，看起来挺严——可它没重命名文件，也没限制目录执行权限。我传了一个包含PHP代码的jpg上去，配合文件包含漏洞，照样执行了。这种组合拳在实训手册里没写，是我自己翻资料试出来的，搞出来的时候还挺得意。

整门实训做下来，最大的收获不是学会了多少攻击技巧。是那种“原来这么简单就能攻破”的警觉感。以前写表单验证觉得差不多就行，现在会多想一步：这个参数如果被人改了会怎样？前端校验到底能不能信？答案显然是不能。

实训报告我写了大概三千字，但真正有价值的是操作过程中那些报错、调试、换思路的细节。安全这东西，光看书记不住，非得自己动手捅几个窟窿出来，才知道疼。