Web安全入门先攻这五个漏洞，比盲目刷课管用-拓冰建站

刚装好Kali Linux和DVWA的那段时间，我盯着靶场首页发了三天呆。视频收藏了上百个，真正动手时却连从哪关开始都不知道。后来才想明白：Web安全入门最忌讳“广撒网”，与其把OWASP Top 10从头到尾刷一遍，不如先把五个最基础、出现频率最高的漏洞吃透。这五个漏洞就是SQL注入、XSS、文件上传、CSRF和弱口令。它们覆盖了服务端、客户端、网络层和人为因素，把攻防双方的底层逻辑展现得最清晰。

下面我会按实战路径逐个拆解，重点说清“怎么练”和“练到什么程度”，帮你把环境真正用起来。

SQL注入：从SQLi-Labs第一关到盲注

SQL注入的本质是用户输入被当成代码执行。理解这一点后，你会发现所有Payload都是围绕“闭合原有语句、插入恶意逻辑”展开的，而不是死记字符串。

SQLi-Labs通关路线

建议按这个顺序推进：

Less-1至Less-4：掌握基础联合查询注入。这四关分别对应id=1'、id=1")等不同闭合方式，核心练习点是是判断字段数（order by或union select null,null）和回显位定位（union select 1,2,3）。
Less-5至Less-6：进入报错注入。使用extractvalue()或updatexml()让数据库主动报错带出数据，理解“没有回显位时如何取数据”。
Less-8至Less-10：布尔盲注。通过and length(database())>5这类条件判断，结合页面返回的“真/假”状态逐位爆破数据。这里要配合Burp Suite的Intruder模块，设置Payload为数字1-8循环，观察Response长度差异。
Less-9至Less-10：时间盲注。用and if(length(database())>5, sleep(5), 0)，通过响应时间判断条件真假。这是无回显、无报错场景的最后一道防线。

关键认知升级

很多人卡在Less-11后就停了，其实那之后才是分水岭。Less-11开始是POST型注入，需要把Burp Repeater用起来，手动修改Body参数。到Less-23左右会遇到过滤注释符的场景，这时要改用' or '1'='1这种不需要注释的闭合方式——这就是在训练你根据防御调整Payload的能力，而不是背固定套路。

通关后建议用DVWA的SQL Injection模块验证：Low级别直接手工注入，Medium级别加了转义需要抓包改十六进制编码，High级别用LIMIT 1限制输出，考察你如何绕过。三个难度差异明显，能帮你建立“同一漏洞在不同防御强度下的应对思维”。

XSS：三种类型的实战区分

XSS的Payload看起来简单，但很多人分不清三种类型的利用场景差异。

反射型XSS（DVWA Low级别）

输入点直接回显在页面上，构造<script>alert(document.cookie)</script>即可触发。Low级别没有任何过滤，重点是理解输入点与输出点的关系——你的Payload出现在哪个HTML标签里？是属性值还是纯文本？这决定了是否需要闭合引号或标签。

存储型XSS（DVWA Medium/High级别）

留言板场景下，Payload存入数据库后每次加载页面都会执行。Medium级别用str_replace过滤<script>，可以用<ScRiPt>大小写绕过，或者用<img src=x onerror=alert(1)>。High级别用preg_replace过滤更严格，需要尝试onmouseover、onclick等事件处理器，或者利用href="javascript:alert(1)"。

这里的关键练习是：在浏览器开发者工具的Elements面板里实时观察你的输入被渲染成了什么。很多时候Payload没生效，是因为被编码成了<实体，或者嵌套在了错误的标签层级里。

DOM型XSS（DVWA impossible级别参考）

Impossible级别虽然打不了，但值得看源码学习防御方案。DOM型XSS不经过服务端，纯靠前端JavaScript处理。比如URL参数?default=English被直接写入页面，如果代码是document.write("<option value='" + location.hash.slice(1) + "'>")，那闭合单引号后就能注入脚本。防御要点是对用户输入做输出编码而非输入过滤，因为输入点可能有多个。

文件上传：从一句话木马到解析漏洞

文件上传漏洞的利用链条是：找到上传点 → 绕过前端/服务端校验 → 获取WebShell路径 → 连接执行。

DVWA三级别差异

级别	防御机制	绕过方法
Low	无校验	直接上传PHP文件，访问路径即可
Medium	检查MIME类型	抓包修改`Content-Type`为`image/jpeg`
High	检查文件头+扩展名白名单	用`GIF89a`伪造文件头，配合文件包含漏洞利用，或利用Apache解析漏洞（如`shell.php.jpg`在特定配置下被解析）

实战中的关键细节

Medium级别的MIME校验绕过，要在Burp中拦截上传请求，把Content-Type: application/x-php改成image/jpeg。很多人忘了这一步，因为浏览器开发者工具里看不到这个Header。

High级别如果严格限制为jpg/png/gif，就需要结合文件包含漏洞或解析漏洞。比如存在本地文件包含（LFI）时，上传一个包含PHP代码的图片马（shell.jpg），再通过?page=../../uploads/shell.jpg包含执行。这引出了重要认知：单一漏洞可能打不通，但漏洞组合能形成完整攻击链。

练习时建议用蚁剑或冰蝎连接Shell，理解WebShell的通信原理。不要止步于“上传成功”，要能看到服务器上的文件列表、能执行命令，才算真正掌握。

CSRF：从原理理解到Burp自动化利用

CSRF的难点不在技术复杂度，而在理解为什么它能成立——浏览器会自动带上目标站的Cookie，而服务端不校验请求来源。

DVWA Low级别手工验证

登录DVWA，进入CSRF页面，修改密码并抓包
在Burp Repeater中右键“Engagement tools” → “Generate CSRF PoC”
把生成的HTML保存为poc.html，在另一个浏览器（或隐私窗口）中打开
点击按钮后，目标用户的密码被修改

这个流程让你直观看到：攻击者不需要知道原密码，只要诱导已登录用户访问恶意页面即可。

Medium级别的Referer校验绕过

服务端检查Referer头是否包含目标域名。绕过方法是在自己服务器上创建同名目录，比如http://attacker.com/dvwa/，让Referer自然带上dvwa字符串。或者利用某些浏览器对Referer的处理差异。

High级别的Token防御与绕过

服务端生成随机Token，表单提交时校验。这属于正常防御，但值得用Burp的Macro功能练习自动化：设置Macro在每次请求前获取页面中的Token，再填入后续请求。这个练习的价值在于理解Token机制的工作原理，以及为什么单纯的Token如果不结合SameSite Cookie仍可能存在风险。

弱口令：Burp Suite爆破的完整工作流

弱口令漏洞看似没有技术含量，却是企业中最常见的突破口。掌握Burp Intruder的爆破模式，是后续所有暴力破解场景的基础。

标准爆破流程

抓包定位：拦截登录请求，发送到Intruder
标记变量：在Positions标签中，用§包裹用户名和密码字段，Attack type选Cluster bomb（用户名和密码各用一个Payload集，交叉组合）
配置Payload：Payload set 1导入常见用户名列表（如admin、root、test），Payload set 2导入密码字典
结果筛选：在Options中设置Grep - Match，匹配login failed之外的响应，或按Response长度排序找异常