内容摘要：一次真实的教训比任何理论都管用。2017年，某知名电商平台被曝出用户数据泄露，黑客利用的正是web应用层一个不起眼的越权漏洞——他们只是修改了URL中的订单号参数，就拿到了其他用户的收货地址和手机号。

一次真实的全测教训比任何理论都管用。2017年，试基识某知名电商平台被曝出用户数据泄露，础知黑客利用的全测正是web应用层一个不起眼的越权漏洞——他们只是修改了URL中的订单号参数，就拿到了其他用户的试基识收货地址和手机号。这不是础知什么高深的攻击手法，也无关操作系统或防火墙，全测纯粹是试基识web应用自身的安全缺陷。web安全测试，础知说白了就是全测站在攻击者的角度，提前找出这些能被利用的试基识破绽。

最常见的础知切入点就是输入。任何能让用户填东西的全测地方——搜索框、登录表单、试基识留言板——都可能成为攻击者的础知跳板。SQL注入就是经典中的经典。攻击者在输入框里塞一段精心构造的数据库查询语句，如果后端没有做参数化查询，数据库就可能被“骗”着交出所有数据。另一个高频问题是XSS（跨站脚本攻击），攻击者把恶意脚本藏在评论里，其他用户一打开页面，脚本就在他们的浏览器里跑起来，cookie被偷走，会话被劫持。还有CSRF（跨站请求伪造），你明明只是点了一个链接，却在不知情的情况下替攻击者发了条转账指令。这些漏洞的根源，往往是开发时对用户输入过度信任。

身份认证和会话管理是另一个重灾区。很多系统的登录接口没有做频率限制，攻击者可以无限次尝试密码，这就是暴力破解的温床。更隐蔽的问题是会话固定攻击——服务器在用户登录前就发了一个session ID，攻击者诱导用户使用这个固定ID登录，之后攻击者就能冒充这个用户。还有些系统干脆把用户角色信息存在cookie里，用base64编码一下就当加密了，攻击者解码后把“user”改成“admin”再提交，直接提权。这种低级错误在真实项目中出现的频率，远比你想象的高。

逻辑漏洞则更考验脑力。比如支付流程，正常下单是商品加入购物车、结算、付款，但攻击者可能先正常下单，然后在支付环节拦截请求，把金额改成0.01元。又比如密码重置流程，有的系统通过发送验证码来验证身份，但验证码只有四位且没有尝试次数限制，暴力枚举几分钟就能破。这些漏洞无法靠扫描器发现，必须靠测试人员手动分析业务逻辑，从“如果我是坏人，我会怎么绕过这个流程”的角度去推演。

工具能帮你省力，但替代不了思考。Burp Suite是web安全测试的标配，它能拦截所有HTTP请求，让你修改参数、重放请求、测试注入点。SQLMap可以自动化检测SQL注入，Nmap用来扫端口和服务。但工具只会告诉你“这里可能有洞”，至于怎么利用、危害多大、如何修复，得靠人脑判断。我见过太多测试报告，列了一堆“中危”“低危”的扫描结果，但真正致命的业务逻辑漏洞，扫描器一个都发现不了。

别把安全测试当成上线前的一道流程。它更像一种持续的习惯——每次版本更新，哪怕只改了一行代码，都可能引入新的风险。而且web安全是个动态博弈，今天修好的漏洞，明天可能换个姿势又出现。作为测试人员，保持好奇心和攻击性思维，比掌握多少工具都重要。多问自己一句：“如果我是攻击者，我会怎么搞垮这个系统？”——答案往往比你预想的更接近真相。