web代码审计

一个SQL注入点能值多少钱？码审在暗网市场，一个电商网站的码审注入点报价大约在500到2000美元之间。但真正让企业彻夜难眠的码审，不是码审这个数字本身，而是码审攻击者拿到数据库后，那些用户密码、码审身份证号、码审银行卡信息在黑市上的码审连锁价值。我见过太多开发者，码审把全部精力放在功能实现上，码审却把安全当成上线前最后一天才想起来补的码审作业。

拿我最近审计的码审一个后台管理系统来说。登录接口用了预编译语句，码审参数绑定做得滴水不漏。码审但翻到密码重置功能，码审开发人员为了省事，直接拼接了SQL语句——因为那个字段是动态传入的表名。这就是典型的"局部安全"陷阱：你以为自己堵住了主入口，却在侧门留了把钥匙。真正的代码审计，从来不是检查某个函数是否安全，而是追踪数据从输入到输出的完整路径。数据流经过的每一个环节，都可能成为攻击者的跳板。

另一个常被忽视的重灾区是文件上传。很多开发者知道要校验文件扩展名，但他们会怎么写？if (in_array($ext, ['jpg', 'png']))。看起来没问题对吧？可如果攻击者上传一个名为shell.php.jpg的文件，Apache的解析机制会怎么处理？取决于服务器配置，某些环境下这个文件会被当作PHP执行。更阴险的做法是上传.htaccess文件，直接改写服务器解析规则。这种攻击不需要高深技巧，纯粹是逻辑漏洞——你校验了文件类型，却没校验文件名本身的结构。

还有一类问题，说出来你可能不信——业务逻辑漏洞比技术漏洞更致命。某次审计一个积分商城，兑换礼品时开发者用$_POST['points']直接减去用户提交的数值。攻击者把积分参数改成负数，反而给自己增加了积分。这种漏洞，任何自动化扫描工具都发现不了，因为它完全符合代码规范，只是业务规则设计有缺陷。代码审计做到最后，拼的是对业务场景的理解深度，不是对函数库的熟悉程度。

我经常跟团队说，别迷信那些昂贵的商业扫描器。它们能帮你找到已知漏洞模式，但真正的0day和逻辑漏洞，得靠人肉去读代码。读代码的时候，你要把自己想象成攻击者——如果我是坏人，我会怎么利用这个功能？看到file_get_contents($_GET['url'])，第一反应应该是SSRF；看到unserialize($_COOKIE['user'])，立刻想到PHP对象注入；看到exec("ping " . $ip)，脑子里要浮现出命令注入的完整payload。这是一种思维方式，不是工具能替代的。

最后说个实用技巧。每次审计，我都会先看项目的路由配置文件。为什么？因为路由决定了哪些URL是公开的，哪些需要认证。很多开发者喜欢把管理功能藏在深层目录里，以为没人知道就安全了。但路由文件一打开，所有接口路径一目了然。攻击者不需要猜，直接看配置就行。所以审计时，先梳理攻击面，再逐个击破，效率会高很多。安全没有银弹，但好的审计方法论，能让你在千行代码里快速锁定最危险的那几行。