web应用程序的应用程漏洞，远比你想的漏洞更“接地气”

去年我帮朋友排查一个电商后台，发现他只要在搜索框输入一个单引号，应用程整个页面就白屏报错。漏洞数据库的应用程报错信息直接甩在浏览器上——表名、字段名、漏洞甚至服务器IP都露了个精光。应用程这不是漏洞什么高深攻击，就是应用程最老套的SQL注入，但直到出事他都不知道自己网站“裸奔”了半年。漏洞

这类漏洞的应用程根源，往往是漏洞开发者默认“用户不会乱来”。可现实是应用程，总有闲着没事的漏洞人往输入框里塞一串'; DROP TABLE users;--。你问他为什么这么干？应用程他说“就试试”。试一次，你的用户表可能就没了。

比SQL注入更隐蔽的是越权漏洞。有个做在线文档的创业公司，用户只要改一下URL里的数字ID，就能打开别人的合同。他们以为登录了就能防住一切，却忘了后端每个请求都得验证“这个ID是不是属于当前用户”。我见过太多团队只检查“是否登录”，从不检查“是否有权限操作这条数据”。结果就是，一个普通员工能删掉全公司的报销单。

XSS（跨站脚本）则是另一种画风。它不偷数据，而是“借刀杀人”。攻击者把一段恶意脚本藏在评论区，等管理员浏览后台时悄悄执行，然后拿着管理员的cookie大摇大摆进系统。有个论坛就这么被搞过——版主点开一个“精美壁纸”帖子，密码就被改了。这漏洞的麻烦在于，它藏在用户生成的内容里，你过滤了尖括号，人家用图片的onerror事件照样执行。

文件上传漏洞听着技术，其实特别“生活化”。很多后台允许传头像，但没限制文件类型。有人传了个.php后缀的“图片”，服务器直接把它当脚本跑了。更绝的是，有些系统只检查文件头是不是GIF89a，攻击者前面加几个字节的图片头，后面全是恶意代码。我见过一个小型招聘网站，就是被这种方式塞进了一个后门文件，整站被用来发垃圾邮件。

还有些漏洞属于“配置失误”。比如备份文件放在web目录下，backup.zip直接能被下载。或者管理后台地址用默认的/admin，密码还是admin123。这种问题没有技术含量，但特别常见。去年某个数据泄露事件，起因就是运维把数据库配置文件传到了GitHub公开仓库，还带了密码。

别以为HTTPS就万事大吉。混合内容漏洞——页面用了HTTPS，但某个图片或脚本走HTTP——照样能被中间人篡改。攻击者在公共WiFi上截获你的请求，把那个不安全的脚本换成恶意的，然后你的页面就成他的了。这事在移动端尤其严重，因为用户经常连各种来路不明的热点。

最容易被忽略的是业务逻辑漏洞。比如密码重置流程，验证码没绑定会话，你拿着别人的手机号请求重置，然后用自己的验证码试试——居然能过。或者优惠券可以重复领取，只要不断切换账号。这些漏洞没法用扫描器发现，得靠人一点点试，所以很多团队压根没测过。

说到底，web漏洞的核心不是技术多高深，而是“信任”放错了地方。你信了用户的输入，信了文件后缀名，信了默认配置，信了前端校验。可攻击者恰恰利用这些信任，一步步撬开你的门。修补它们没有银弹，唯一靠谱的办法是：每次写接口前，先问一句“如果我是坏人，这地方能怎么搞？”

(责任编辑：探索)