10 个高频漏洞挖掘实战清单，覆盖 90% 渗透测试场景

10 个高频漏洞挖掘实战清单，覆盖 90% 渗透测试场景

Web漏洞挖掘不是靠瞎猜，核心是抓准信任失控的本质。

今天整理了一份实战向的漏洞挖掘清单，从漏洞本质、核心方法论，到10个经典漏洞的具体测试技巧，全是能直接上手用的干货。

先搞懂：Web漏洞的本质的是信任出了问题

很多人挖漏洞只盯着工具，却忽略了底层逻辑，所有Web漏洞，本质都是信任体系失控、验证机制失效导致的。说白了，就是开发者过度相信用户输入、权限边界和系统交互，才给了攻击者可乘之机。具体拆成3类问题：

1.输入不可控：没过滤用户输入，比如随便输入特殊字符、恶意代码，系统就直接解析执行。像SQL注入、XSS跨站脚本，都属于这类。

2.权限无隔离：身份验证、会话管理有漏洞，比如别人能直接用你的账号信息登录，或者普通用户能查看管理员数据。越权访问、JWT令牌篡改都在这个范畴。

3.逻辑不自洽：业务规则没做好验证，比如网购时把订单金额改成0.01元也能支付，或者无限发送验证码。这种逻辑漏洞往往比技术漏洞更隐蔽，也更难防范。

3个核心方法论：挖漏洞不用瞎忙活

掌握这3个思路，能让你的漏洞挖掘效率提升一倍，避免做无用功：

•逆向信任链：记住“所有输入都不可信”！不管是表单提交、URL参数，还是Cookie里的内容，都要尝试输入异常数据，比如插个<符号测试是否触发XSS。

•突破上下文边界：同一数据在不同传输环节，系统解析可能不一样。比如把参数从GET改成POST提交，或者把数据放进HTTP头里，说不定就能发现过滤漏洞。

•模拟非正常交互：别按正常用户的操作来！比如用工具发高并发请求测试是否有竞争条件，或者用中间人劫持工具拦截数据，看看能否触发协议级别的漏洞。

实战清单：10个Web经典漏洞与挖掘技巧

下面整理10个经典漏洞的完整清单，按注入类、权限类、逻辑类等维度分类，每个都包含原理、检测方法和实操技巧，直接照做就能测试：

一、注入类漏洞（5个）

1. SQL注入（最常见，必掌握）

原理：用户输入的内容被直接拼接到SQL语句里，篡改了原本的查询逻辑。比如登录时输入的账号密码，要是没过滤，就可能被构造恶意代码登录。

检测方法：

•手动测试：在输入框或URL参数后加 ’ OR 1=1# ，比如原本的URL是xxx?id=1，改成xxx?id=1’ OR 1=1# ，如果页面显示了所有数据，就是存在注入漏洞。

•自动化测试：用SQLMap工具，直接执行命令 sqlmap -u “xxx?id=1” ，工具会自动探测注入点和数据库类型。

实操技巧：

•别只盯着GET参数！POST表单提交的参数、Cookie里的内容、甚至HTTP头里的Referer、User-Agent，都可能存在注入点，要逐个测试。

•找到注入点后，用联合查询获取关键信息，比如输入 union select version(),database() ，能拿到数据库版本和当前数据库名，为后续渗透打基础。

2. NoSQL注入（针对MongoDB等非关系型数据库）

原理：和SQL注入类似，但针对的是MongoDB、CouchDB这类NoSQL数据库，恶意输入会篡改JSON格式的查询条件。

检测方法：最经典的是绕过登录验证。比如登录页面的用户名和密码输入框，抓包后把参数改成 username[KaTeX parse error: Expected ‘EOF’, got ‘&’ at position 6: ne]=1&̲password[ne]=1 ，如果能直接登录成功，就说明存在NoSQL注入。

实操技巧：重点测试用JSON格式传输数据的接口，看看用户输入是否被直接解析成查询条件。比如很多前后端分离项目的接口，会接收JSON参数，这里很容易出现漏洞。

3. 命令注入（OS Command Injection）

原理：用户输入的内容被拼接到系统命令里执行。比如系统有个“ping测试”功能，输入IP后会执行ping命令，要是没过滤，就能注入其他系统命令。

检测方法：在输入框里输入 ; ls （Linux系统）或 | dir （Windows系统），如果页面返回了目录列表，就说明存在命令注入漏洞。比如输入 127.0.0.1; ls ，要是能看到服务器上的文件，就实锤了。

实操技巧：利用特殊符号绕过过滤，除了分号（;）、管道符（|），还有&&、||等符号，不同符号的作用不一样，比如&&是前一个命令执行成功后才执行后一个，||是前一个失败后执行后一个，都可以试试。另外，若遇到符号被过滤的情况，可尝试用编码或空格绕过，比如把;换成%3B。

4. XSS跨站脚本漏洞

原理：用户输入的恶意脚本被系统存储或反射到页面中，被浏览器解析执行。根据触发方式不同，可分为存储型（脚本被存入数据库，如评论区）、反射型（脚本仅在当前请求中生效，如URL参数）、DOM型（通过操作DOM树触发，不经过服务器）。

检测方法：

•反射型测试：在URL参数或表单输入框中输入 ，若页面弹出1，则存在漏洞；若被过滤，可尝试简化脚本，如 。

•存储型测试：在评论区、个人资料等可提交内容的地方输入上述脚本，提交后刷新页面，若弹出1，则漏洞存在。

实操技巧：

•遇到脚本被过滤时，尝试标签变形（如

•重点测试用户可控的输出点，比如页面标题、提示信息、评论内容等，这些地方都可能成为XSS漏洞的触发点。

5. XML注入

原理：针对XML解析器的漏洞，恶意输入篡改XML文档结构，导致解析异常或执行非预期操作，常见于使用XML传输数据的接口（如SOAP接口）。

检测方法：在XML数据的输入字段中插入 <?xml version="1.0"?>]>&xxe; （XXE漏洞测试语句），若能获取到服务器的/etc/passwd文件内容（Linux系统），则存在漏洞。

实操技巧：测试使用XML格式传输数据的接口时，重点关注是否禁用了外部实体解析。若未禁用，除了读取本地文件，还可尝试探测内网端口、发起远程请求等操作。

二、权限类漏洞（2个）

6. 越权访问漏洞

原理：系统未对用户的权限进行严格校验，导致低权限用户能访问或操作高权限用户的数据。分为水平越权（同权限用户之间访问对方数据，如查看其他用户的订单）和垂直越权（低权限用户访问高权限功能，如普通用户访问管理员后台）。

检测方法：

•水平越权测试：登录用户A的账号，获取某个数据的访问URL（如xxx/order?id=123），将id改为其他用户的订单ID（如124），若能正常查看，则存在水平越权。

•垂直越权测试：登录普通用户账号，尝试访问管理员后台URL（如xxx/admin），或在请求头中修改用户角色标识（如role=0改为role=1），若能进入管理员后台，则存在垂直越权。

实操技巧：除了修改URL参数中的ID，还要关注Cookie、Session中的权限标识，以及请求头中的用户信息。很多系统会在前端隐藏高权限功能入口，但直接访问对应的接口仍能触发漏洞。

7. JWT令牌篡改漏洞

原理：JWT（JSON Web Token）用于身份验证，若令牌未使用安全的签名算法（如使用none算法），或密钥泄露、过于简单，攻击者可篡改令牌中的用户信息（如用户ID、权限），伪造合法用户身份。

检测方法：

•使用JWT解码工具（如jwt.io）解码令牌，查看payload中的用户信息；尝试将签名算法改为none（需删除签名部分），重新提交请求，若能正常访问，则存在漏洞。

•若知道密钥，可修改payload中的用户ID或权限，用密钥重新签名后提交，若能通过验证，则漏洞存在。

实操技巧：测试时重点关注JWT的签名算法是否为HS256、RS256等安全算法，避免使用none或MD5等不安全算法。同时，检查密钥是否过于简单（如123456），可通过暴力破解工具尝试破解密钥。

三、逻辑类及其他漏洞（3个）

8. 订单金额篡改漏洞

原理：系统仅在前端验证订单金额，未在后端对金额进行二次校验，攻击者可通过抓包工具修改订单金额，以极低价格购买商品。

检测方法：在电商平台或支付场景下，提交订单后，使用抓包工具（如Burp Suite）拦截支付请求，将金额参数（如amount=100）改为0.01或其他任意值，提交后若能成功支付，则存在漏洞。

实操技巧：除了修改金额参数，还要关注折扣、优惠券等相关参数（如discount=0），部分系统会通过这些参数计算最终金额，篡改后也可能实现低价支付。另外，测试时要完整走完支付流程，确认订单状态是否正常。

9. 短信轰炸漏洞

原理：系统未对短信验证码的发送频率、发送次数进行限制，攻击者可通过脚本或工具频繁调用短信发送接口，导致用户收到大量验证码短信，造成骚扰或影响系统正常运行。

检测方法：在短信验证码发送页面，输入手机号后连续点击发送按钮，或使用工具批量发送请求，若未出现“发送过于频繁”等提示，且能持续收到短信，则存在漏洞。

实操技巧：测试时可尝试修改请求头中的IP、Cookie等信息，绕过基于IP或会话的频率限制；同时，关注是否有图形验证码、短信验证码有效期等防护措施，若防护缺失，漏洞危害更大。

10. 文件上传漏洞

原理：系统未对用户上传的文件类型、后缀名、内容进行严格校验，攻击者可上传恶意文件（如php木马、asp脚本）到服务器，进而控制服务器。

检测方法：

•尝试上传后缀为php、asp、jsp的文件，若能上传成功且可访问执行，则存在漏洞；

•若后缀被过滤，尝试修改后缀名（如php5、phtml）、大小写（如PhP），或修改文件内容类型（如将Content-Type改为image/jpeg）绕过过滤。

实操技巧：上传文件后，要确认文件的保存路径和访问地址，部分系统会将文件保存到固定目录且未修改文件名，可直接通过URL访问。另外，可尝试上传图片马（在图片中嵌入脚本代码），再通过文件包含漏洞执行脚本。

漏洞挖掘的核心从来不是记漏洞，而是掌握怀疑一切输入、验证所有权限的思维。建议各位师傅结合实际项目多练手，把这些技巧内化成自己的能力。

互动话题：如果你想学习更多**网络安全方面**的知识和工具，可以看看以下面！

网络安全学习资源分享:

给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以在下方CSDN官方认证二维码免费领取【保证100%免费】