缓冲区溢出。常用漏洞老掉牙的常用漏洞东西，但每年依然有一堆系统栽在它手里。常用漏洞去年某知名路由器厂商的常用漏洞固件又被爆出远程代码执行漏洞，起因就是常用漏洞一个没有做边界检查的字符串拷贝函数。攻击者往里塞了超过预定长度的常用漏洞数据，多出来的常用漏洞部分直接覆盖了内存里相邻的返回地址——程序乖乖跳转到攻击者指定的位置，执行了后门指令。常用漏洞整个过程就像往一个写着“限装5斤”的常用漏洞袋子里拼命塞砖头，袋子破了，常用漏洞砖头砸到旁边存放“下一步该干嘛”的常用漏洞纸条上，纸条被换成了“去砸银行”。常用漏洞

SQL注入则是常用漏洞另一番光景。它不靠暴力，常用漏洞靠的常用漏洞是“聪明”。网站把用户输入的字符串直接拼进数据库查询语句里，没做任何过滤。输入一个“' OR '1'='1”，原本的查询就变成了“SELECT * FROM users WHERE name = '' OR '1'='1'”——永远为真。这招在2000年代盛行，现在依然有不少老旧系统在裸奔。我见过一个小型电商平台，后台管理员密码形同虚设，因为登录接口把密码字段直接拼进SQL，攻击者只要在密码框里输入“' OR '1'='1' --”就能以管理员身份登录。更讽刺的是，那套系统的开发者觉得“没人会这么无聊来攻击我们”。

跨站脚本（XSS）则更隐蔽，它不直接攻击服务器，而是攻击用户。攻击者在评论区或留言板里塞一段JavaScript代码，服务器把它原样存进数据库，其他用户浏览时，这段代码就在他们的浏览器里执行。轻则弹个广告，重则窃取Cookie、劫持会话。有个真实案例：某社交平台的私信功能存在存储型XSS，攻击者给大V发一条包含恶意脚本的私信，大V一点开，攻击者就拿到了大V的会话令牌，进而控制账号发虚假消息。整个过程悄无声息，受害者毫无察觉。

还有一类漏洞源于配置失误，而非代码缺陷。比如开启了目录列表的Web服务器，访问者能直接浏览服务器上的文件目录，下载敏感文件。再比如默认口令没改的数据库、管理后台、物联网设备。2016年那场Mirai僵尸网络攻击，就是靠扫描互联网上使用默认口令的摄像头和路由器，把它们变成肉鸡，发起了史上最大规模的DDoS攻击——Twitter、Netflix、Reddit一度全线瘫痪。这些设备的生产商根本没想过用户会不改默认密码，或者懒得改。

文件上传漏洞也值得一提。很多网站允许用户上传头像、附件，但没严格校验文件类型和内容。攻击者上传一个包含PHP后门的“图片”——其实是个改了扩展名的恶意脚本——服务器把它当作合法文件存到可执行目录，访问这个文件时，后门就被触发。某政府网站曾因此被植入Webshell，攻击者通过这个后门持续窃取内部资料长达数月。技术门槛低到令人发指，随便找个教程就能学会。

这些漏洞的共同点是什么？它们都不是什么高深莫测的技术，而是人类疏忽的产物——忘了检查边界、偷懒没过滤输入、图省事用默认口令、没验证上传文件。攻击者只是比别人更细心，更懂得利用这些疏忽。