白帽子实战：电商网站常见漏洞挖掘指南
前言
许多安全初学者通过书籍、网络 PDF 或论坛文章入门，掌握了 SQL 注入、文件上传、XSS 等常见漏洞的原理。然而，在靶场环境（如 DVWA、SQL-Labs）中练习时，通常已知漏洞位置及类型，只需利用即可。而在真实的漏洞挖掘场景中，往往面临未知目标，需要主动发现潜在风险点。
对于刚接触 SRC（安全响应中心）的朋友来说，直接面对复杂的资产和 WAF 防护可能较为困难。建议从功能丰富且熟悉的商城类网站入手，逐步积累挖掘经验。本文将基于日常购物流程，系统讲解如何识别电商站点中的常见漏洞。
注意：本文仅用于安全研究与学习，所有测试行为必须在获得授权的前提下进行。严禁对未授权目标进行扫描或攻击。
一、目标筛选与资产收集
1.1 为什么选择商城型网站？
商城网站功能模块多（注册、登录、搜索、购物车、支付、个人中心），业务逻辑复杂，容易隐藏逻辑漏洞。相比静态网站，其交互接口更多，产生漏洞的概率更高。
1.2 如何寻找目标？
- 站长之家/第三方平台：查看企业官网信息。
- Google 高级语法搜索：使用
site:、inurl:等指令定位特定类型的页面。 - 公开漏洞库：参考历史报告了解常见触发点。
二、用户注册与登录环节
2.1 短信轰炸与验证码绕过
在注册或找回密码界面，检查发送短信接口是否存在以下问题：
- 无频率限制：不限制同一 IP 或手机号发送次数。
- 无需验证码验证：发送短信前未校验图形验证码。
- 参数可篡改：请求包中可修改接收手机号参数。
测试方法：使用 Burp Suite 抓包，尝试重放请求或修改参数。若后端未做限流，可能导致短信接口被滥用。
2.2 任意用户注册
部分老旧系统未对注册账号的手机号或邮箱格式进行严格校验，允许使用任意字符注册，甚至允许重复注册他人账号。
检测点：
- 注册接口是否校验手机号唯一性。
- 验证码是否在前端生成并直接返回给客户端（导致可复用）。
- 是否支持批量注册脚本。
2.3 URL 跳转漏洞
登录成功后，URL 常包含 redirectURL 或 returnUrl 参数，用于跳转到首页或上一页。若未校验跳转地址，攻击者可构造恶意链接诱导用户点击，实现钓鱼。
示例：
https://login.example.com/login?redirectURL=https://evil.com
若后端直接使用该参数跳转，用户登录后将被导向钓鱼网站。
2.4 暴力破解
若登录接口未设置验证码、IP 限制或账户锁定机制，攻击者可使用字典工具（如 Hydra、Burp Intruder）进行密码爆破。
防御建议：
- 实施多因素认证（MFA）。
- 增加图形验证码或滑块验证。
- 限制失败尝试次数。
三、核心业务功能漏洞
3.1 反射型 XSS
在搜索框、筛选条件等输入框中，若用户输入的内容未经过滤直接回显到页面，可能触发反射型 XSS。
测试思路：
- 在搜索框输入 。
