漏洞挖掘实战：从零到一的XSS与SQL注入入门

1. 漏洞挖掘入门指南：从零到一的实战路径

刚接触安全测试的新手常会陷入"先学理论还是直接实战"的困境。我2013年挖到第一个XSS漏洞时，花了整整两周时间在过时的教程里打转。现在回头看，其实掌握正确路径后，72小时内就能完成从环境搭建到提交第一个有效漏洞的全流程。下面这套方法论已经帮助团队新人创造了平均5天发现首漏洞的纪录。

2. 环境准备与工具链配置

2.1 靶场系统选择标准

DVWA（Damn Vulnerable Web Application）至今仍是最佳入门选择，原因有三：

1. 漏洞场景按难度分级（从Low到Impossible）
2. 自带漏洞利用说明和防御方案
3. 一键部署的Docker镜像（vulnerables/web-dvwa）

注意：永远不要在未授权的情况下测试非靶场系统，法律风险远大于技术收获

2.2 浏览器插件组合

• Wappalyzer：快速识别网站技术栈
• HackTools：集成常用payload生成器
• Cookie-Editor：实时修改会话数据
• Retire.js：检测前端库已知漏洞

3. 漏洞挖掘方法论拆解

3.1 攻击面测绘四步法

1. 目录爆破：用dirsearch扫描/api /admin等路径

   python3 dirsearch.py -u http://target -e php,asp,js

2. 参数提取：从HTML表单、JS文件抓取所有input和ajax端点
3. 接口分析：使用Burp Suite抓包观察数据流
4. 技术栈匹配：CVE漏洞库对照版本信息

3.2 低垂果实优先级列表

按发现概率排序：

1. 未过滤的搜索框（XSS/SQLi）
2. 暴露的API文档（Swagger UI）
3. 版本控制文件（.git/.svn）
4. 硬编码凭证（JS/CSS注释）
5. 默认后台入口（/wp-admin）

4. 首个漏洞实战演示

4.1 DVWA反射型XSS挖掘

1. 在DVWA安全级别设为Low
2. 在Name字段输入：

   <script>alert(document.cookie)</script>

3. 观察弹窗出现后，改用真实攻击载荷：

   <img src=x onerror=alert(location.href)>

4.2 漏洞报告编写要点

• 复现步骤：包含完整HTTP请求（Burp截图）
• 影响证明：截图显示敏感信息泄露
• 修复建议：给出具体过滤代码示例

  $name = htmlspecialchars($_GET['name'], ENT_QUOTES);

5. 效率提升技巧

5.1 自动化模式识别

使用GF（Go-Filter）工具快速发现潜在漏洞点：

cat urls.txt | gf xss | httpx -silent

5.2 漏洞模式速查表

6. 避坑指南

1. 不要迷恋自动化工具：AWVS扫描报告99%是误报
2. 警惕蜜罐系统：测试前确认ip归属（shodan.io）
3. 法律边界：仅测试授权范围明确的目标
4. 知识管理：用Obsidian建立漏洞案例库

我带的实习生最近在测试某CMS时，发现其视频上传功能声称只允许mp4格式，但实际检查逻辑仅验证文件头。通过伪造文件头+php代码的方式，最终获得了RCE漏洞。这个案例告诉我们：永远要验证服务端的实际校验逻辑，而不要轻信前端提示。