安全测试面试常见漏洞检测方法解析_千锋教育

01 SQL注入：检测三步走，打穿数据库

SQL注入是Web安全的老大，OWASP Top10常年前三。面试必考，因为简单又致命。检测SQL注入，核心就三招：报错检测、布尔盲注、时间盲注。

靠前步：报错检测。 往参数里丢一个单引号'，看页面是否报错。报错内容包含SQL syntax、mysql_fetch_array()等关键词，直接判定存在注入。但现代框架会屏蔽错误信息，所以报错不是充分条件。

第二步：布尔盲注。 构造?id=1 and 1=1和?id=1 and 1=2，看页面返回是否一致。一致说明and逻辑被解析，极大概率存在注入。注意：整形参数直接加and，字符串参数要先闭合引号，如?name=admin' and '1'='1。

第三步：时间盲注。 当页面不显示任何差异时，用sleep(5)或WAITFOR DELAY '0:0:5'。?id=1' AND SLEEP(5)-- -，如果页面响应5秒后返回，铁证如山。

面试官最爱问：“如何绕过WAF？” 答案是：注释符/**/、编码双写、HTTP参数污染。例如?id=1/*!union*/select，很多WAF不拦截。还有用%23代替#，用%0a换行等。记得带一个实际绕过案例，面试官直接亮灯。

检测漏洞的本事，不是工具给的，而是思路给的。

面试时别只背SQLMAP命令。考官想看的是你的手工检测能力。能用一句`'	sleep(5)`搞定时间盲注，比说十句“我会用sqlmap”强十倍。

02 XSS：三个入口，一个逻辑

XSS（跨站脚本）分三种：反射型、存储型、DOM型。面试常问检测方法，记住一个核心逻辑：看输入能否控制页面输出，且输出未被转义。

反射型检测： 在URL参数里插入或。浏览器弹窗，说明脚本被执行。注意：现代浏览器自带XSS过滤器，但拦不住这种。检测时关闭浏览器XSS防护或使用不同payload。

存储型检测： 表单提交处（留言、评论、用户名）。填入，提交后刷新页面，看是否弹窗。存储型危害更大，因为攻击脚本持久化，所有访问者中招。检测时重点观察数据持久化位置，比如数据库、文件、缓存。

DOM型检测： 纯前端漏洞，检测难度最高。用开发者工具查看JavaScript代码，找eval()、innerHTML、document.write等危险函数。手动构造payload：?q=#，看页面有没有生成DOM元素。用Burp的DOM Invader插件可以快速扫描。

面试官常问：“你用什么工具检测XSS？” 别只说OWASP ZAP。推荐Burp Suite+自定义payload列表（至少200条）。还要提一嘴：用polyglot payload（多语言组合）一次检测多种过滤，比如"onmouseover=alert(1)>

安全测试不是找漏洞，而是找程序的不信任边界。

面试时展示你检测XSS的思路：先找输入点，再找输出点，最后判断上下文。哪个阶段转义了，哪个没转义。这一套逻辑讲下来，面试官直接记笔记。

03 CSRF：没有Token就是漏洞

CSRF（跨站请求伪造）难检测吗？简单。核心方法：抓包看请求是否携带CSRF Token。没Token，90%存在漏洞。有Token，还要验证Token是否可预测、是否复用、是否绑定会话。

手工检测步骤：

1. 用Burp拦截一个敏感请求（修改密码、转账、发帖）。

2. 右键生成CSRF PoC HTML代码。

3. 在另一个浏览器中打开这个HTML文件。

4. 如果请求被成功执行（密码修改成功、转账成功），则存在CSRF漏洞。

自动化检测： 用Burp的CSRF Scanner插件。扫描器会检测请求中的Token是否存在，以及Token是否与Session绑定。注意：绕过方式包括Token在cookie中、Token能通过Referer泄露等，需要手动验证。

面试官陷阱：“CSRF和XSS有什么区别？” 你答：XSS攻击用户浏览器，CSRF利用用户身份；XSS需要执行JavaScript，CSRF只需构造请求；CSRF通常用Token防御，XSS用过滤防御。再加一句：两者常组合利用，比如XSS窃取Token绕过CSRF防护。

防御的本质是验证来源，检测的本质是找来源漏洞。

面试时给一个实际案例：你接手了一个后台管理，发现所有接口都带Token，但Token写在URL里且不校验Referer。你通过图片标签就删除了用户。这就是典型的存在防御但可绕过。面试官听了直点头。

04 SSRF：肉眼看不到的“反向访问”

SSRF（服务端请求伪造）是内网渗透的入口。检测方法：看哪些功能会发起网络请求（URL抓取、图片下载、XML外部实体、文件读取）。构造一个外网可控的URL，看服务端是否去访问。

经典检测步骤：

1. 找到请求URL的参数，比如?url=http://example.com。

2. 把这个URL换成自己的服务器地址（或可被监控的IP），如http://yourip:8080。

3. 在自己的服务器上监听端口，看是否收到来自目标服务器的连接。

4. 收到连接，说明存在SSRF。再测试内网地址：http://127.0.0.1:80、http://10.0.0.1:3306。

绕过检测的套路： 很多程序限制了127.0.0.1，用短地址http://0.0.0.0、IPv6地址http://[::1]、域名解析http://localhost。还有用302跳转绕过：先请求一个可访问的域名，该域名返回302到内网地址，服务端就会跟着跳转。

面试官必问：“SSRF的危害是什么？” 你答：扫描内网端口、读取本地文件（file协议）、攻击内网应用（Redis、MySQL无认证）。再举个实战：通过SSRF访问阿里云ECS metadata（http://100.100.100.200/latest/meta-data/）获取临时访问密钥，直接接管云账号。

安全测试的层次是：先看外部，再看内部，最后看自己。

面试时展示你的内网探测方法：用SSRF工具库（如SSRFmap）自动测试多种协议。但别忘了说手工思路：先判断协议是否过滤，再逐步突破。这样面试官觉得你既能用工具，又能想原理。

05 文件上传：一句话木马背后的检测逻辑

文件上传漏洞是拿权限的最快路径。检测核心：识别上传点（头像、附件、文档）后，验证文件是否被当作可执行文件解析。

检测步骤：

1. 上传一个合法文件（如test.jpg），确认上传成功。

2. 修改文件名或内容，尝试上传PHP脚本：test.php、test.php.jpg、test.phtml、test.htaccess。

3. 看服务器是否保存为原始名，并且路径可访问。访问/uploads/test.php，如果页面执行了PHP代码（比如输出phpinfo），漏洞确认。

绕过检测的技巧：

►前端限制只检后缀，改包即可。
►后端检查Content-Type，改成image/jpeg过。
►后端检查文件头，在PHP脚本前加GIF89a过。
►上传.user.ini或.htaccess，让当前目录的所有文件都被解析成PHP。

面试常问题：“文件上传漏洞如何彻底防御？” 标准答案：白名单后缀、重命名文件、存储到对象存储（OSS/S3）、禁止执行目录可写。但面试官要的是你的理解深度：只做白名单不够，因为Apache解析漏洞（test.php;.jpg）可以绕过。你要说“使用文件后缀白名单+文件内容类型检查+存储目录执行权限关闭，三层保险”。

攻击者只需要一个入口，防御者要封死所有出口。

面试时举一个你挖到的实际案例：上传一个.svg文件，内含XSS脚本，然后触发存储型XSS。这在很多企业中仍存在，因为SVG被当作图片处理，但浏览器会解析其中的脚本。一个例子胜千言。

---

面试官不会因为你会背漏洞原理而录用你。他们想看的是：你能不能在一个新系统里，十分钟内找到SQL注入或XSS。记住：安全测试不是吹出来的，是测出来的。现在就去你的项目里挖一个漏洞，然后写到简历上。