Web 常见漏洞验证XSS、SQL 注入真假漏洞判断减少 SRC 误报前言新手提交漏洞最头疼的问题莫过于大量报告被厂商打回理由基本都是误报、无法复现、WAF 拦截、参数不可控。我早期挖洞的时候同样踩过这个大坑复制 payload 丢进参数页面出现报错就直接提交结果十份报告有六七份被判定误报严重打击信心。很多新手分不清页面异常、特殊字符回显、WAF 拦截提示不等于真实漏洞。本文聚焦 Web 最常见的两类漏洞XSS 跨站脚本、SQL 注入手把手教你怎么区分真假漏洞、怎么规范验证降低 SRC 提交误报率。适合刚入门挖洞、频繁遇到报告驳回的朋友。⚠️法律声明本文内容仅用于授权环境内安全学习与漏洞验证。任何测试操作必须在 SRC 授权资产范围内进行禁止未经授权对网站进行注入、XSS 测试违规操作需要承担法律责任。一、核心原则漏洞验证三要素在判断是不是真实漏洞之前记住三个判断标准所有通用漏洞都适用参数可控输入的内容是用户可以自由控制的不是固定写死在页面上的静态文本。输入被后端处理并回显 / 执行你的 payload能被服务器接收、解析而不是前端 JS 简单过滤或者 WAF 直接拦截。能证明风险不是单纯页面报错而是可以实现漏洞对应的攻击效果弹窗、查询数据库等。只要有一条不满足大概率就是误报。二、XSS 跨站脚本真假漏洞识别XSS 简单原理XSS 本质是用户可控输入未经过滤直接输出到 HTML 页面浏览器把输入当成 HTML/JS 代码解析执行。分三类存储型、反射型、DOM 型。其中反射型新手最容易误判。新手常用测试 Payload仅验证使用scriptalert(1)/script img srcx onerroralert(1) javascript:alert(1)不要用 alert (document.cookie) 这类 payload 去偷真实 cookieSRC 提交只需要alert(1)证明执行即可。✅真实 XSS 特征输入的 payload 完整或者部分被回显到页面 HTML 源码中没有被转义浏览器打开页面成功弹出 alert 弹窗输入内容由 GET/POST 参数控制修改参数页面回显跟着变化。❌常见 XSS 误报场景高频踩坑页面展示 payload 文本但是源码里面被转义页面上直接显示scriptalert(1)/script文字看起来像是回显。查看网页源码被转义成lt;转义成gt;。浏览器只会当成普通文本展示不会执行 JS属于误报。排查技巧一定要看网页源代码不要只看页面渲染效果WAF 拦截页面返回提示 “危险请求”提交 payload直接跳转到 WAF 拦截页面。很多新手误以为这是 XSS其实只是 WAF 识别恶意字符请求根本没有到达业务后端不存在漏洞。JS 前端渲染输入仅在前端处理不经过后端DOM-XSS 很特殊不需要后端回显但很多时候只是前端简单字符串替换参数不可控或者存在严格过滤。不能仅凭 URL 带参数就判定存在 DOM XSS必须成功触发弹窗。仅在开发者控制台能执行页面本身无法触发在 F12 控制台手动执行 JS 弹窗这不叫 XSS。XSS 要求访问链接自动触发不需要人工在控制台操作。XSS 验证步骤标准流程提交 SRC 可直接写进报告构造 payload 放入可控参数抓包保存原始请求包访问链接观察页面效果查看网页源码确认输入是否被转义确认浏览器成功弹出 alert (1)截图请求包、浏览器弹窗截图、页面源码截图清理测试痕迹不要留下恶意测试代码存储在页面存储型 XSS 尤其注意。XSS 提交小提示反射型 XSS 需要提供可直接复现的完整 URL存储型 XSS 要记录写入数据的请求和访问触发页面的请求。只放截图没有可复现链接厂商复测人员很难复现容易被驳回。三、SQL 注入真假注入判断避免大量误报SQL 注入是新手最容易产生误报的漏洞。页面出现数据库报错是很多新手判定注入的唯一依据但报错不等于注入。SQL 注入原理用户可控参数直接拼接到 SQL 语句执行攻击者可以修改 SQL 逻辑查询、修改数据库数据。基础测试 Payload and 11-- - and 12-- -核心思路单引号测试闭合通过逻辑真假对比页面返回差异判断 SQL 语句是否被修改。✅真实 SQL 注入特征输入单引号页面出现数据库原生报错MySQL、MSSQL、Oracle 数据库报错信息对比and 11和and 12页面返回内容明显不一样布尔盲注特征时间盲注and sleep(5)-- -页面响应时间明显变长参数直接带入 SQL 语句执行没有使用预编译。❌SQL 注入高频误报场景WAF 拦截返回数据库风格的报错页面很多 WAF 拦截 SQL 特征时会返回模拟的报错页面并不是后端数据库抛出的错误。去掉单引号 payload请求恢复正常这种是 WAF 拦截不是注入。单引号被前端 JS 过滤请求根本没有传到后端在前端输入框输入单引号直接被页面过滤抓包看请求包里面已经被删除或者转义后端根本接收不到这个字符不存在注入。页面返回固定错误提示无论输入什么内容都一样输入和输入普通字符返回完全相同的报错页面只是程序自定义的错误页不是数据库报错。数字型参数做了类型强转例如参数id1传入id1’程序强制把参数转为数字单引号直接丢弃。页面报错但是无法控制 SQL 语句不属于注入。SQL 注入标准验证流程抓包找到可控参数添加单引号观察页面响应测试布尔条件and 11、and 12对比页面差异时间盲注场景sleep 延时测试对比响应时间确认是数据库原生报错不是 WAF / 自定义错误页保留完整请求包、响应包截图页面差异不要脱库验证漏洞存在即可禁止查询大量真实业务数据。重点红线验证漏洞只需要证明注入存在不要导出用户数据不要修改、删除数据库内容。四、容易混淆的其他伪漏洞新手常踩坑403 访问拒绝 ≠ 未授权访问访问路径返回 403仅代表目录禁止访问。未授权访问的定义没有登录身份直接访问后台接口 / 页面能够读取业务数据、执行功能。单纯 403 不算漏洞。目录列表开启和文件泄露区分开启目录浏览目录列出文件属于中低危但 403 禁止访问目录只是可以猜文件不能直接列出不算目录浏览漏洞。前端源码看到注释密码 ≠ 敏感信息泄露前端 JS 里面写的固定测试字符串注释不是真实账号密码只有真实可用的密钥、账号凭证才属于敏感信息泄露。五、提交报告前自检清单降低误报神器提交 SRC 之前花 2 分钟自查这几条能过滤绝大多数误报确认资产在 SRC 允许测试范围确认参数是用户可控不是固定文本排除 WAF 拦截导致的页面异常复现 2 次以上每次都稳定触发准备请求包、响应包、截图确认攻击效果符合漏洞定义不是页面表面现象测试完成清理测试产生的脏数据存储型漏洞。六、写在最后真假漏洞判断是挖洞路上必备基本功。工具只能帮你快速探测但是区分误报必须靠人工验证。很多新手一味追求快速提交漏洞省略验证环节大量误报不仅拉低收录率还会让厂商对你的报告可信度降低。记住一句话页面异常只是线索不是漏洞能够稳定复现、实现对应攻击效果才是真实漏洞。坚持做好漏洞验证减少误报你的漏洞收录率会明显提升。免责声明本文仅用于网络安全学习与授权环境漏洞验证。未经授权的漏洞测试属于违法行为请严格遵守 SRC 安全测试协议。以上就是今天的分享觉得有帮助记得点赞收藏以上所说到的漏洞扫描工具都整理成压缩包了朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】同时还为准备学习网络安全黑客或者正在学习整理了一套360独家内部资料包含以下内容如有需要也可文末获取①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】