web漏洞

凌晨三点，我的服务器报警了。日志里躺着一条奇怪的请求：?id=1' AND SLEEP(5)--。有人在对我的博客做SQL注入测试，而且手法相当老练——时间盲注，不直接报错，靠延迟判断漏洞是否存在。

我盯着屏幕，后背发凉。这个博客是我上周刚部署的，用了某个开源框架的默认配置。框架很流行，文档很漂亮，但没人告诉我默认的数据库连接权限是root，也没人提醒我后台地址是/admin，更没人警告我——所有web应用都是筛子，只是洞的大小和位置不同。

web漏洞的本质，其实是信任问题。服务器信任了不该信任的输入，浏览器执行了不该执行的脚本，用户点击了不该点击的链接。拿最常见的XSS来说，攻击者只是在评论区塞了一段<script>标签，服务器原样存储，其他用户访问时浏览器原样执行。就这么简单，你的Cookie就被人偷走了。我见过一个电商站，因为商品描述字段没过滤，导致每个商品页都能弹出恶意广告——攻击者甚至没花一分钱，就拿到了全站流量。

更讽刺的是，很多漏洞不是技术问题，而是配置问题。我认识一个运维老哥，他们公司花了大价钱买WAF，结果部署时图省事，把管理后台直接暴露在公网，密码还是admin123。WAF再强也拦不住人家直接登录后台改配置。这就像给防盗门装了最贵的锁，却把钥匙挂在门口垫子下面。

SQL注入是最老的套路，但依然有效。原因在于开发者总以为用户输入是“数据”，而不是“代码”。当你的查询语句里拼接了用户输入，比如SELECT * FROM users WHERE name = '{ $_GET['name']}'，攻击者就能把单引号闭合掉，后面跟上自己的SQL命令。一个' OR '1'='1就能绕过登录，一个UNION SELECT就能拖走整张用户表。我见过最离谱的案例，是某政府网站因为一个搜索框没做参数化查询，被拖走了几百万条公民信息——而那个搜索框，只是用来查公告标题的。

文件上传漏洞也很有意思。很多站点允许用户传头像，但没检查文件内容，只检查了扩展名。攻击者传一个shell.php.jpg，服务器如果配置不当，可能直接当PHP执行。更绝的是，有些系统用getimagesize()验证图片，攻击者就在图片的EXIF信息里藏代码。这已经不是技术博弈了，纯粹是开发者对“输入”的理解太浅——你以为用户传的是图片，其实人家传的是代码。

还有个常被忽略的点：业务逻辑漏洞。这种漏洞没有固定模式，靠的是脑洞。比如某支付平台，修改订单金额参数就能0元购物；某会员系统，用负数积分兑换礼品；某抽奖活动，通过并发请求让中奖概率变成100%。这些漏洞不在OWASP Top 10里，但危害一点不小。因为它们绕过了所有常规防护，直接攻击业务规则。

说到底，web漏洞是攻防双方对“边界”理解的差异。攻击者总在找那些开发者没设防的角落——一个未过滤的字段，一个多余的接口，一个默认的密码。而防御者要做的，不是堆砌安全产品，而是时刻假设自己已经被攻破，然后反推哪里最可能被突破。

我关掉报警邮件，把那台服务器的IP拉进黑名单，然后打开代码仓库，开始给所有SQL查询加参数化绑定。窗外天快亮了，我知道这不是最后一次被入侵，但至少，下一次攻击者不会这么轻松。

毕竟，漏洞永远存在，只是看谁先发现它。

(责任编辑：热点)