Web 漏洞 Top 场景：注入、上传与越权

绝大多数网站入侵事件，追到最后往往就是三类入口：注入、上传、越权。理解这三类的原理与自查方法，比背一堆漏洞编号更有用处。 注入的经典形态是 SQL 注入。程序把用户输入直接拼进 SQL 语句时，攻击者输入一段带引号与关键词的字符串，就能改变语句的原意——本该查一件商品的条件，被拼成了查全表甚至执行删除。自查时在代码里搜直接拼接 SQL 的写法，运行层面看日志里是否出现异常冗长的查询参数。修复方向统一：改用参数化查询，让用户输入只当数据、不参与语句结构的构造。 上传漏洞的原理是"该传图片的地方传了脚本"。头像、附件功能如果只靠前端限制文件类型，攻击者可以绕过校验，直接上传一个可执行的脚本文件，也就是 webshell，拿到控制服务器的入口。自查要点有三：上传目录是否具备脚本执行权限；保存的文件名是否可被预测；服务端是否校验了文件头与类型白名单。加固做法是上传目录一律禁止执行、文件重命名存储、大小与类型双重校验。 越权是最容易被忽视的一类。水平越权是改个 ID 就能看别人的订单，垂直越权是普通用户调用了管理员才能用的接口。根源是"只验证了登录，没验证权限"，接口信任了前端传来的参数。自查方法很朴素：用两个测试账号互相访问对方的数据地址，用普通账号请求管理接口，凡返回了不该有的数据，就是越权，逐个接口过。 三类漏洞的共同解法是"不信任任何输入，校验每一次授权"。上线前做一轮针对性自查，再让 WAF 兜底拦截常见攻击载荷，日常风险能压下去大半。漏洞防范没有一劳永逸，每次新功能上线都值得把这三类重新过一遍。