Web漏洞挖掘实战：从SQL注入到业务逻辑缺陷
1. 漏洞挖掘初探：从零开始的认知框架
第一次接触漏洞挖掘时，我站在某电商平台的登录框前发呆——这个看似简单的输入框背后，究竟隐藏着多少种可能的攻击路径？三年前那个手足无措的下午，让我深刻理解到漏洞挖掘不是玄学，而是有章可循的系统工程。本文将带你完整走一遍我从菜鸟到独立挖掘商业漏洞的实战历程。
漏洞挖掘的本质是"用开发者的思维设计系统，用攻击者的视角寻找缺陷"。就像建筑师既要懂结构力学，又要知道哪里可能偷工减料。现代Web应用常见的漏洞类型构成一个金字塔：底层是OWASP Top 10中的基础漏洞（SQL注入、XSS等），中层是业务逻辑漏洞（越权访问、流程绕过等），顶层则是需要复合利用的高级漏洞链。
重要提示：所有漏洞挖掘行为必须遵守法律边界，本文案例均在授权测试环境或CTF靶场进行
工欲善其事必先利其器。我的工具包经历过三次迭代：
- 初级套装：Burp Suite Community + SQLmap + 浏览器开发者工具
- 进阶配置：Burp Suite Professional + Nuclei + 自定义Python脚本
- 专业组合：Burp插件生态 + 代码审计工具 + 流量分析平台
2. SQL注入实战：从检测到利用的完整链条
去年在某CTF比赛中遇到一个经典案例：用户登录页面的username参数存在注入。先用单引号测试，返回了数据库错误信息——这是个明显的注入点特征。
2.1 手工检测方法论
我习惯的检测流程像外科手术般精确：
- 单引号测试：观察是否引发数据库错误
- 布尔测试：' and 1=1-- 与 ' and 1=2-- 对比响应差异
- 时间盲注：' union select if(1=1,sleep(5),0)--
- 报错注入：' and extractvalue(1,concat(0x7e,version()))--
某次真实渗透中，目标系统过滤了空格和注释符。这时需要变通：
'%0aunion%0aselect%0a1,2,3%0afrom%0ausers%0awhere%0a'1'='1用%0a（换行符）替代空格，用字符串拼接绕过注释限制。
2.2 自动化工具的正确打开方式
SQLmap不是万能钥匙，需要配合手工测试才能发挥最大威力。我的常用命令组合：
sqlmap -u "http://target.com/login.php" --data="user=admin&pass=123" \ --level=5 --risk=3 --technique=BEUST \ --tamper=space2comment --dbms=mysql关键参数解析：
- --technique=BEUST：指定使用布尔/报错/联合/时间盲注
- --tamper=space2comment：对WAF绕过特别有效
- --dbms=mysql：指定数据库类型提升检测效率
血泪教训：曾因忘记加--proxy参数直接扫描生产环境，触发安全告警被封IP
3. 业务逻辑漏洞挖掘：开发者的思维盲区
某金融APP的转账功能曾存在一个典型逻辑缺陷：前端验证了转账金额不能超过余额，但后端只检查了数值大于0。通过Burp拦截修改请求，成功实现了"零元购"。
3.1 越权访问的黄金检测点
我整理的检测清单包含这些关键路径：
- 用户ID替换：/user/profile?id=123 → id=124
- JWT解码：修改payload中的role字段
- Cookie遍历：auth=user → auth=admin
- 参数污染：/api/delete?file=1.txt&file=2.txt
最近发现的一个有趣案例：某系统用UUID标识用户，但注册时服务端会返回这个UUID。通过批量注册+枚举，可以遍历所有用户数据。
3.2 支付流程的魔鬼细节
电商系统支付环节常出现三类问题：
- 负数金额：total=-1 导致余额增加
- 重复提交：快速点击造成多次扣款单次发货
- 状态回滚：支付成功后拦截请求修改状态码
实战技巧：用Burp的Repeater模块对关键请求进行：
- 参数篡改测试
- 顺序重放测试
- 并发请求测试
4. 漏洞挖掘的工程化实践
在挖某SRC平台漏洞时，我建立了系统化的挖掘流程：
4.1 目标资产测绘
使用组合拳收集信息：
# 子域名枚举 amass enum -d target.com -o domains.txt # 端口扫描 naabu -list domains.txt -top-ports 1000 -o ports.txt # 服务识别 httpx -list ports.txt -title -status-code -tech-detect4.2 自动化漏洞扫描
自建扫描流水线提升效率：
- 用Github Actions调度定时扫描
- Nuclei模板覆盖常见漏洞
- 自定义Python脚本检测特殊逻辑
- 结果自动归档到Notion知识库
4.3 漏洞报告撰写要点
优质报告需要包含：
- 重现步骤（含完整HTTP请求）
- 风险等级评估（CVSS评分）
- 修复建议（具体代码示例）
- 潜在影响范围
某次提交的漏洞因描述不清被退回，后来我固定使用这个结构：
1. 漏洞位置：/api/v1/user/profile 2. 触发条件：修改uid参数 3. 请求示例：[完整curl命令] 4. 预期结果：只能查看自己信息 5. 实际结果：可查看任意用户信息5. 从靶场到实战的思维转变
在HTB（Hack The Box）机器上练就的技术，需要调整才能适应真实业务场景：
5.1 企业级WAF绕过技巧
遇到Cloudflare等WAF时，这些方法很管用：
- 大小写混淆：SeLeCt → select
- 等价替换：|| 替代 OR
- 注释分割：UNION/888/SELECT
- 编码混淆：%2527 替代单引号
5.2 保持隐蔽性的艺术
真实环境中要像特工一样低调：
- 调整扫描速率（--delay参数）
- 使用住宅代理轮转IP
- 伪造正常User-Agent
- 避开业务高峰时段
有次扫描时忘了设置延迟，触发WAF规则导致IP被封，整个测试计划被迫中断。
6. 持续精进的学习路径
我的知识体系更新循环：
- 每周精读1篇CVE分析报告
- 每月完成2台HTB机器
- 季度性参加CTF比赛
- 关注这些优质资源：
- PortSwigger的Web安全学院
- OWASP Cheat Sheet系列
- 《Web Hacking 101》等实战书籍
最近在复现CVE-2023-1234时发现，官方修复方案其实存在绕过可能。这种深度分析往往能发现新的攻击面。