要掌握绝大多数 Web 漏洞原理及攻防手段，需要对各种常见漏洞有深入理解。
上方URL获取资源
常见 Web 漏洞原理
-
SQL 注入漏洞：原理是攻击者通过在输入字段中注入恶意 SQL 语句，来干扰数据库的正常操作，从而获取、修改或删除数据库中的数据。例如，在登录框中输入
' OR 1=1 --，可能会绕过登录验证。 -
跨站脚本攻击（XSS） ：攻击者将恶意脚本注入到目标网站中，当用户访问该网站时，浏览器会执行这些恶意脚本，从而实现窃取用户信息、修改页面内容等攻击目的。分为反射型 XSS、存储型 XSS 和 DOM 型 XSS。比如反射型 XSS，攻击者通过诱导用户点击一个包含恶意脚本的链接，如
https://example.com/?param=<script>alert('XSS')</script>，当用户点击后，脚本就会在用户浏览器中执行。 -
跨站请求伪造（CSRF） ：攻击者诱导用户访问一个恶意网站，该网站会自动向目标网站发送用户已登录状态下的请求，利用用户的身份执行一些非法操作，如转账、修改密码等。因为浏览器会自动携带用户在目标网站的 Cookie 等认证信息，目标网站无法区分请求是用户主动发起还是攻击者伪造的。
-
文件上传漏洞：如果网站对用户上传的文件没有进行严格的验证和过滤，攻击者就可能上传恶意脚本文件，如 PHP 木马文件，然后通过访问上传的文件来获取服务器的控制权。
-
目录遍历漏洞：攻击者通过利用 Web 应用程序对文件路径的处理不当，尝试访问服务器上本不应该被公开访问的文件或目录。例如，通过在 URL 中使用
../等符号来跳出当前目录，访问上级目录中的敏感文件，如/etc/passwd。 -
不安全的直接对象引用：Web 应用程序在处理用户请求时，直接使用用户提供的输入来访问对象，而没有进行充分的权限验证和访问控制。例如，用户可以通过修改 URL 中的参数来访问其他用户的敏感信息，如
https://example.com/user.php?id=1，用户将id改为其他值就可能获取到其他用户的数据。 -
代码注入漏洞：攻击者通过输入恶意代码，让服务器执行非预期的代码。例如，在表单中输入恶意的 Shell 命令，如果服务器没有对输入进行正确处理，就可能在服务器上执行这些命令。
攻防手段
- 攻击手段
-
- 自动化工具扫描：利用 Burp Suite、AWVS 等工具，对目标网站进行全面扫描，检测是否存在各种 Web 漏洞。这些工具可以自动发送大量的测试请求，分析响应结果，快速发现一些常见的漏洞。
- 手工测试：通过在输入框、URL 等位置手动输入各种可能的恶意代码和语句，进行漏洞探测。比如在登录框尝试 SQL 注入攻击，在评论框尝试 XSS 攻击等。
- 社会工程学攻击：结合社会工程学技巧，如发送钓鱼邮件、诱导用户点击恶意链接等，以获取用户的登录凭证或其他敏感信息，进而实施攻击。
- 防御手段
-
- 输入验证和过滤：对用户输入的数据进行严格的验证和过滤，确保输入的数据符合预期的格式和范围。使用正则表达式等技术，对输入中的特殊字符、SQL 语句关键字、脚本标签等进行转义或过滤。
- 访问控制：实施严格的访问控制策略，根据用户的身份和权限，限制对不同资源的访问。确保用户只能访问其有权限访问的页面和功能，防止越权访问。
- 安全配置：对服务器和 Web 应用程序进行安全配置，如关闭不必要的服务和端口，设置合理的文件权限，更新软件和补丁等，以减少漏洞被利用的可能性。
- 监控与日志：建立完善的监控和日志系统，实时监测网站的运行状态和用户行为。对异常的访问请求和操作进行记录和报警，以便及时发现和处理安全事件。
