Web 漏洞
从 XSS、注入、上传到源码泄露，按「能复现」而不是「扫描器报过」来筛。
- 更新Updated
- 2026.10.25
7 篇文章7 articles
这一章是手册里最长的一章，因为 Web 是绝大多数测试的主战场。
排序按「出问题的概率」而不是「危害大小」。XSS 排第一不是因为它最严重，是因为它出现得最多，而且最容易验证——弹个框就能截图，不用解释。
每一篇的写法都一样：先说这类漏洞成立的条件，再说怎么找，最后说找到之后往下能走多远。第三条最容易被省略，但它决定了报告里的定级。
一个通用的判断：扫描器报的问题，默认都不算数。要自己复现一遍，能稳定重现、能说清触发路径，才写进报告。
文章Articles
XSS文章出现位置、测试顺序、编码绕过，以及「弹框」和「真的能用」之间的距离。SQL 注入文章判断注入点、绕过 WAF、用 sqlmap 收敛，以及什么时候该停下来手工打。文件上传绕过文章后缀校验、内容校验、解析差异——绕过成立的根本原因，是两套解析器读同一个字段。鉴权绕过文章分号、路径穿越、双斜杠——鉴权逻辑判断的是「路径长什么样」，而路由匹配的是「请求落到哪个处理器」。验证码文章从「能不能复用」到「能不能识别」，以及为什么识别类绕过在报告里通常不算高危。Webpack 与源码泄露文章一个没删的 .map 文件，等于把前端源码、接口清单和业务逻辑一起交出去。CVE-2024-4367：PDF.js 里的代码执行文章不涉及 PDF 的 JavaScript 功能，问题出在字体渲染时把字形指令编译成了函数。