当前位置：首页 > news >正文

Web安全五大漏洞攻防实战与面试指南

news 2026/7/19 16:55:40

1. Web安全工程师面试核心考点解析

作为从业十年的安全工程师，我面试过上百名候选人，发现80%的求职者在Web安全基础问题上栽跟头。今天我们就来深度拆解面试必考的五大漏洞类型：SQL注入、XSS、CSRF、SSRF和XXE。这些知识点不仅是面试高频考点，更是日常安全防护的重中之重。

2. SQL注入攻防实战

2.1 注入原理与危害

SQL注入的本质是通过构造特殊输入，改变原始SQL语句的逻辑结构。去年某电商平台就因订单查询接口存在注入漏洞，导致百万用户数据泄露。常见攻击手法包括：

联合查询注入：' UNION SELECT username, password FROM users--
布尔盲注：admin' AND 1=CONVERT(int, (SELECT table_name FROM information_schema.tables))--
时间盲注：1'; IF(SYSTEM_USER='sa') WAITFOR DELAY '0:0:5'--

2.2 防护方案对比

防护方案	原理	适用场景	优缺点
预编译语句	SQL与参数分离	所有数据库操作	100%防注入，需改造代码
存储过程	业务逻辑封装在数据库	复杂业务场景	性能好，维护成本高
ORM框架	对象关系映射	新项目开发	开发快，学习曲线陡
输入过滤	关键字黑名单	遗留系统临时方案	易被绕过，不推荐

实战经验：MyBatis的#{}和${}要严格区分，我曾遇到开发混用导致注入的案例。参数化查询才是终极解决方案。

3. XSS跨站脚本攻防体系

3.1 三种XSS类型对比

反射型：恶意脚本随URL参数即时执行

http://example.com/search?q=<script>alert(1)</script>

存储型：恶意脚本存入数据库长期生效

<textarea><img src=x onerror=stealCookie()></textarea>

DOM型：前端JS动态解析导致执行
```
document.write(location.hash.slice(1))
```

3.2 企业级防护方案

CSP策略配置示例：

Content-Security-Policy: default-src 'self'; script-src 'unsafe-inline' cdn.example.com

SpringBoot防XSS实践：

@Bean public FilterRegistrationBean<XssFilter> xssFilter() { FilterRegistrationBean<XssFilter> registration = new FilterRegistrationBean<>(); registration.setFilter(new XssFilter()); registration.addUrlPatterns("/*"); return registration; }

前端转义库选型：
- DOMPurify
- js-xss
- OWASP ESAPI

4. CSRF跨站请求伪造防护

4.1 攻击场景还原

攻击者构造恶意页面：

<img src="http://bank.com/transfer?to=hacker&amount=1000000" width="0" height="0">

当已登录用户访问该页面时，资金自动转出。

4.2 防护方案实现

Spring Security配置：

@Override protected void configure(HttpSecurity http) throws Exception { http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()); }

双重Cookie验证：

// 前端 fetch('/api/transfer', { headers: { 'X-CSRF-TOKEN': getCookie('csrf_token') } })

关键操作二次验证：
- 短信验证码
- 密码确认
- 生物识别

5. SSRF服务端请求伪造

5.1 漏洞利用链

探测内网服务：

http://vuln.com/api?url=http://127.0.0.1:8080/admin

云元数据泄露：

http://vuln.com/api?url=http://169.254.169.254/latest/meta-data/

文件协议读取：

http://vuln.com/api?url=file:///etc/passwd

5.2 防护方案进阶

请求目标过滤：

ALLOWED_DOMAINS = ['api.example.com'] if parsed_url.netloc not in ALLOWED_DOMAINS: raise ValueError('Invalid URL domain')

DNS重绑定防护：
- 解析域名后立即使用IP
- 禁止DNS缓存
网络层隔离：
- 内网服务设置ACL
- 关键服务启用双向认证

6. XXE外部实体注入

6.1 漏洞利用方式

<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> <user>&xxe;</user>

6.2 Java防护方案

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance(); dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true); dbf.setFeature("http://xml.org/sax/features/external-general-entities", false); dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);