去年冬天，击防我帮一个做跨境电商的击防朋友看服务器日志。凌晨三点，击防后台突然多了几百条注册请求，击防注册IP全是击防越南的，邮箱格式整齐得像流水线生产。击防第二天早上，击防店铺优惠券被批量领走，击防直接损失两万多。击防这不是击防什么高级黑客攻击，就是击防最基础的脚本自动化注册。web攻击的击防门槛，比大多数人想象的击防低得多。

很多人觉得攻击离自己很远，击防小网站没人盯。击防事实恰恰相反，攻击者根本不挑目标，他们用扫描器全网跑，谁的漏洞先暴露就打谁。一个没打补丁的WordPress插件，从被发现到被利用，有时候只需要几个小时。自动化工具把攻击变成了流水线作业，不需要懂技术，花几十块钱买个工具包就能上手。

SQL注入算是最经典的攻击方式了。原理说白了就是攻击者在输入框里塞一段数据库指令，网站没做过滤就直接拿去查库了。比如登录框里输入 ' OR '1'='1，有些老系统直接就把你当管理员放进去。这类漏洞在2024年仍然存在，尤其在一些外包做的后台管理系统里，开发图省事，拼接SQL字符串，连参数化查询都不做。我见过一个政府下属单位的OA系统，登录接口用burp抓包改个参数就能越权查看所有人的工资条。修起来其实不复杂，PreparedStatement一上，问题就堵住了。难的是有人去发现它。

XSS跨站脚本攻击更隐蔽。攻击者往评论区或者用户昵称里注入一段JavaScript，其他用户浏览页面时这段脚本就在他们浏览器里执行了。轻则弹窗恶作剧，重则盗取Cookie冒充登录。存储型XSS最麻烦，因为恶意代码存在数据库里，每个访问页面的人都会中招。防御的核心就一条：输出到页面的用户内容必须转义。< 变成 <，浏览器就不会把它当标签解析。听起来简单，但很多前端框架默认帮你做了，开发者反而不清楚底层发生了什么，换个场景就忘了。

CSRF跨站请求伪造经常被忽略。它的逻辑是：你登录了银行网站，Cookie还在有效期内，这时候你点开了一个恶意页面，那个页面偷偷向银行发送了一个转账请求，浏览器会自动带上你的Cookie，银行以为是本人操作。防御手段是加Token验证，每个表单提交都带一个随机令牌，第三方页面拿不到这个令牌就没法伪造请求。SameSite Cookie属性也能起到类似作用，现在主流浏览器默认就是Lax级别，算是帮了不少忙。

文件上传漏洞的破坏力往往最大。攻击者上传一个伪装成图片的webshell，然后就能远程执行服务器命令。我见过一个案例，某公司官网的招聘页面允许上传简历，只检查了文件后缀名，攻击者把 .php 改成 .php.jpg 就绕过了。更离谱的是上传目录还有执行权限，webshell直接就跑起来了。正确的做法是白名单校验后缀、重命名文件、把上传目录的执行权限关掉。三层防护，缺一层都可能出事。

DDoS攻击是另一种思路，不找漏洞，直接用流量淹死你。小站扛不住几百个并发连接就挂了。Cloudflare这类CDN能挡掉大部分，但配置不当也会漏。有次一个客户被打了，查了半天发现源站IP没藏住，攻击者直接绕过CDN打源站。这种问题不是技术多难，是细节没做到位。

说回来，防护这件事没有一劳永逸的方案。WAF能挡掉大部分自动化扫描，但绕过的姿势一直在更新。代码层面的安全习惯才是根本——输入永远不信任，输出永远转义，权限永远最小化。这三条做到了，能挡住八成以上的常见攻击。剩下的，靠持续关注漏洞情报和及时打补丁。安全是个过程，不是装个软件就完事了。