常见的安全漏洞有哪些-力不从心网

常见的安全漏洞有哪些

时间：2026-10-17 05:08:51 来源：力不从心网

2021年，安洞某电商平台的全漏一位程序员在调试接口时发现，有人仅通过修改URL里的安洞一个数字ID，就能拉到其他用户的全漏完整订单信息——姓名、电话、安洞收货地址，全漏全都在。安洞这不是全漏什么高深攻击，就是安洞最朴素的越权访问。安全漏洞很多时候就这么“土”，全漏土到你以为不可能发生。安洞

先说注入类漏洞。全漏SQL注入是安洞最老牌的一类，老到很多人觉得它该绝迹了，全漏但它没有。安洞原理很简单：程序把用户输入的内容直接拼进SQL语句里，用户输入' OR 1=1 --这种内容，数据库就乖乖把整张表吐出来。我见过一个后台登录框，输入万能密码直接进了管理员面板，开发者的原话是“测试环境没在意”。注入不限于SQL，命令注入、LDAP注入、XPath注入都是同一逻辑：把数据当代码执行了。

跨站脚本（XSS）是另一个常青树。你在评论区打一段<script>alert(1)</script>，如果页面原样渲染出来，弹窗了，那所有访问这条评论的人都会中招。存储型XSS尤其阴，payload躺在数据库里，谁来谁中。有人用XSS偷Cookie、劫持会话，甚至做成蠕虫自动传播——2005年MySpace的Samy蠕虫，一天之内感染了上百万用户，靠的就是XSS加AJAX。

越权漏洞我单独拎出来讲，因为它太常见又太容易被忽略。分两种：水平越权和垂直越权。水平越权是同级用户互相能看对方数据，比如改一下订单号就能看别人的订单；垂直越权是低权限用户干了高权限的事，比如普通用户直接访问/admin/deleteUser?id=5，后端居然没校验角色。开头提到的那个案例就是典型的水平越权。很多团队做了登录认证，但忘了在每个接口上做授权检查，认证和授权是两码事。

文件上传漏洞也值得聊。一个上传头像的功能，如果只在前端用JS检查后缀名，后端不做校验，攻击者传一个shell.php上去，再访问它，服务器就变成了他的执行终端。更隐蔽的是文件包含漏洞，PHP里include($_GET['page'])这种写法，攻击者可以包含远程服务器上的恶意文件，也可以包含本地日志文件——先把恶意代码写进日志，再包含日志，组合拳打得你措手不及。

再说说逻辑漏洞。这类漏洞没有固定模式，全靠对业务的理解。比如密码找回功能，验证码是4位数，没有次数限制，暴力枚举就行；比如支付时把金额改成负数，账户反而多出钱来；比如优惠券可以叠加使用，或者并发请求同一张券多次核销。逻辑漏洞扫描器基本扫不出来，得靠人脑去推演业务流程哪里可能被滥用。

还有一类是敏感信息泄露。报错页面把数据库连接字符串打出来，GitHub上搜到公司内部代码仓库，API返回了不该返回的字段——比如用户列表接口把密码哈希也带回来了。这些不是“被攻破”，是自己把门敞开的。

最后提一下依赖组件漏洞。你写的代码没问题，但你用的那个日志库有反序列化漏洞，你引的那个JSON解析库有拒绝服务缺陷。Log4j2的JNDI注入（CVE-2021-44228）就是典型，一个日志打印语句能触发远程代码执行，影响面覆盖了半个互联网。供应链安全现在越来越被重视，不是没有道理。

这些漏洞有个共同点：它们不靠什么零日漏洞利用链，就是开发时少想了一步。安全不是加个WAF就完事了，WAF能挡脚本小子，挡不住真正理解业务逻辑的人。写代码的时候多问一句“如果用户不按我预想的方式操作会怎样”，很多漏洞根本不会出现。