```html

去年冬天，全防一个做电商的护破朋友半夜给我打电话，说网站后台被拖了，全防订单数据全在暗网上挂着。护破他问我：“你不是全防搞安全的吗？能不能帮我看看他们怎么进来的？”我远程连上去，翻了半小时日志，护破发现攻击者根本没用什么高深漏洞——就是全防后台登录页没做频率限制，密码又是护破“admin123”。暴力破解跑了不到两小时，全防进去了。护破

这件事让我想写点东西。全防很多人以为Web安全防护是护破一堵墙，其实它更像一张渔网，全防网眼大小决定了什么鱼能漏过去。护破所谓“破解”，全防不是去砸墙，而是找到那个没扎紧的网眼。下面我按实际攻防中常见的几个切入点来说，不讲理论，只讲我看到的东西。

一、认证环节是最容易撕开的口子

登录框是攻击者的第一站。我统计过自己经手的十几个入侵案例，超过一半是从弱口令或撞库开始的。有人觉得加个验证码就安全了，但很多验证码是前端生成的，抓包直接绕过。还有的网站把用户枚举漏洞当小事——输入不存在用户返回“用户不存在”，输入存在但密码错返回“密码错误”。攻击者拿一个字典跑一遍，就能筛出所有有效账号。我见过最离谱的，是某政府网站登录接口返回的JSON里直接带了用户角色字段，改个参数就能越权。

防护怎么做？别只靠前端校验。登录失败次数要记在服务端，超过阈值锁IP或账号。密码存储必须用bcrypt或argon2，别再用MD5加盐了——GPU跑彩虹表的速度比你想象快得多。还有，别在错误提示里泄露任何多余信息。

二、注入类漏洞依然活着，只是换了马甲

SQL注入被说了二十年，现在纯拼接的少了，但ORM框架用不好照样出事。我遇到过用MyBatis的${ }而不是#{ }，参数直接拼进SQL。还有NoSQL注入，比如MongoDB里传个{ "$ne": null}就能绕过登录。命令注入更隐蔽，某次看到一个图片处理接口，参数是filename，后端直接exec("convert " + filename)，传个`; rm -rf /`就完蛋。

这类漏洞的防护核心就一条：永远不要相信用户输入。参数化查询是底线，白名单校验是加分项。如果非要用动态表名或列名，别从请求里取，从服务端映射表里查。

三、文件上传和包含，老漏洞新玩法

文件上传功能我每次渗透测试必看。有的网站只检查Content-Type，改个包就传上去了。有的检查后缀但用黑名单，传个.phtml或.htaccess照样解析。更骚的是传个图片马，配合文件包含漏洞直接RCE。我见过一个CMS，上传目录可以直接访问，传个.php.jpg然后访问/.php.jpg，Apache配置不当就执行了。

防护要三重：后缀白名单、内容检测（比如getimagesize）、上传目录禁止执行脚本。文件包含的话，别用用户输入拼路径，用固定映射表。

四、业务逻辑漏洞，扫描器扫不出来的

这类漏洞最考验人。比如某电商满减活动，可以同时用多张优惠券叠加，或者修改数量为负数导致退款金额大于支付金额。还有密码找回，验证码返回在响应包里，或者修改手机号就能重置任意用户密码。我去年帮一个客户看，他们的积分兑换接口没校验积分是否足够，传个负数积分直接加钱。

这种没法靠工具，只能靠人工梳理业务流程。每个接口都要问：这个参数用户能控制吗？控制了会怎样？状态机能不能跳步？

五、别忽略基础设施和第三方组件

很多人盯着应用层，忘了Redis未授权、Elasticsearch未授权、Docker API暴露。我扫过某公司的IP段，发现他们测试环境的Jenkins没设密码，直接进去就能执行Groovy脚本。还有用Log4j2的，2021年那波漏洞一打一个准。第三方JS库也是重灾区，比如老版本jQuery的XSS漏洞。

防护要定期做资产梳理，别让测试环境暴露在公网。组件版本要跟踪CVE，能升级就升级，不能升级就加WAF规则临时挡。

六、WAF不是万能的，但没WAF是万万不能的

我见过有人觉得上了WAF就高枕无忧，结果WAF规则太宽松，或者只开了记录模式没开拦截。也见过WAF被绕过——比如用分块传输编码、参数污染、或者找WAF不解析的Content-Type。但话说回来，WAF能挡住大部分自动化扫描和脚本小子。我的建议是：WAF要开，但别依赖它。它只是争取时间，真正的修复还得在代码层。

最后说个真实感受。很多入侵不是因为攻击者多厉害，而是防守方太懒。默认密码不改、测试接口不删、日志不看、补丁不打。安全是个持续过程，不是买个设备就完事。你问怎么破解Web安全防护？先看看自己有没有把门锁上。

```