5 大基础漏洞面试问答合集-优快云博客

5 大基础漏洞面试问答合集

免责声明：本文内容用于 Web 安全岗位面试备考，仅用于知识学习，禁止利用相关知识实施未授权探测、渗透测试等违规行为。

前言

初级渗透测试工程师、安全运维、安全助理、安全实习生岗位面试，SQL 注入、XSS、文件上传、CSRF、未授权访问这五大基础漏洞属于必考内容。很多小白在靶场可以成功复现漏洞，但是面试官口头提问的时候，表达逻辑混乱，讲不清原理、危害、修复方案，直接面试翻车。

这篇问答不只是简单背诵答案，在每个问题下面增加答题思路，告诉你回答的侧重点，还有面试官延伸追问的预判。面试回答不要机械背诵，尽量用自己理解的语言描述，结合靶场实操经历，效果最好。

覆盖漏洞：SQL 注入、XSS 跨站脚本、文件上传漏洞、CSRF 跨站请求伪造、未授权访问

一、SQL 注入

Q1：简单说一下 SQL 注入的原理？

答题参考
SQL 注入本质是后端程序直接把用户可控的输入，拼接进 SQL 查询语句，没有做过滤、转义，也没有使用预编译语句。攻击者可以提交带有特殊符号的输入，修改原本 SQL 语句的逻辑，让数据库执行开发者预期之外的查询指令，读取或者修改数据库数据。
举个简单场景：登录框，后台拼接select * from user where username='输入内容' and password='输入内容'。攻击者输入admin' or 1=1 -- ，单引号闭合原有字符串，or 1=1 让条件恒成立，-- 注释掉后面语句，实现绕过登录校验。
答题思路：先说核心成因（拼接用户输入），简单举例一句话 Payload，最后说明后果。不要长篇大论，简洁清晰。

Q2：SQL 注入常见分类有哪些，简单区分？

答题参考

联合查询注入：页面会直接回显数据库查询的结果，最直观，适合有回显位置的场景。
布尔盲注：页面不会直接返回数据，但是输入真假语句，页面返回内容不一样。攻击者通过页面的不同回显，逐字符猜解数据库内容。
时间盲注：页面真假状态没有明显差别，使用 sleep () 延时函数，根据页面响应时间判断 SQL 语句执行结果，猜数据。
堆叠注入：在一条输入中执行多条 SQL 语句，分号分隔，可以执行查询、删除等多条指令，前提后端支持多语句执行。

面试官延伸追问：盲注和联合注入的适用场景区别？
答：有数据回显位置优先联合查询；页面无回显，但是页面内容随条件变化，用布尔盲注；页面真假返回完全一样，只能使用时间盲注。

Q3：SQL 注入会带来哪些危害？

答题参考

泄露数据库内部全部敏感数据，包含账号、手机号、订单、身份证等用户隐私信息；
修改、删除数据库业务数据，破坏业务正常运行；
如果连接数据库的账号权限很高，可以读取服务器本地文件，甚至写入文件拿到网站 Webshell，接管服务器。

Q4：SQL 注入的防御手段，优先级怎么排序？

答题参考
首选方案：预编译（参数化查询），从根源上分离 SQL 代码和用户输入，用户输入永远只当做参数，不会被解析为 SQL 语句，是最有效的防御。
辅助手段：输入过滤、特殊字符转义；数据库账号最小权限原则，业务库账号禁止 file、写等高权限；关闭数据库不必要的函数。
答题重点：一定要强调黑名单过滤不是可靠防御手段，只能作为辅助。

Q5：为什么单纯黑名单过滤关键字（or、and、union）无法彻底防御 SQL 注入？

答题参考
黑名单只是拦截已知危险关键字，攻击者存在很多绕过方式：大小写变形、编码绕过、注释分割关键字、等价函数替换等。黑名单永远跟不上不断出现的绕过 payload，属于事后拦截，不能从根源阻止 SQL 语句拼接。

二、XSS 跨站脚本攻击

Q1：简述 XSS 漏洞原理

答题参考
XSS 全称跨站脚本攻击。网站后端没有对用户提交的数据进行 HTML 转义，直接将用户输入输出渲染到网页页面。攻击者提交恶意 JS 代码，当其他用户访问这个页面的时候，浏览器会解析并执行这段 JS 脚本，实现攻击。
注意，攻击对象是访问页面的用户浏览器，不是网站服务器。

Q2：三种 XSS 类型，分别介绍以及区别

答题参考

存储型 XSS（持久型）：恶意 JS 代码存入后端数据库，页面读取数据库展示内容，所有访问页面的用户都会触发攻击。危害最大，常见留言板、评论区、个人资料模块。
反射型 XSS（非持久型）：恶意代码不会存入数据库，需要构造带有 payload 的特殊链接，诱导受害者点击链接，一次性触发攻击。链接失效攻击就失效。
DOM 型 XSS：不需要后端参与。前端 JS 直接读取 URL 参数等用户可控数据，操作 DOM 渲染到页面。整个过程数据不经过后端存储，后端日志不会记录恶意载荷。

面试官高频追问：DOM XSS 和反射 XSS 的核心区别？
答：反射型 XSS 恶意 payload 会传给后端，后端返回页面；DOM XSS 全程在前端 JS 处理，数据不会传给服务端，后端接收不到恶意代码。

Q3：XSS 攻击可以实现哪些攻击效果？

答题参考

读取页面 Cookie，劫持受害者账号；
伪造钓鱼页面，诱导用户输入账号密码；
以受害者身份，在当前网站发起请求，执行操作；
获取页面内用户可见信息。

Q4：XSS 的防御方式

答题参考

输出转义：用户数据输出到 HTML 页面之前，对< > & " '等特殊符号做 HTML 实体转义，是最基础手段；
设置 CSP 内容安全策略，限制页面 JS 的加载来源，阻止未授权脚本执行；
Cookie 添加 HttpOnly 属性，禁止 JS 读取 Cookie，防止 Cookie 窃取；
输入过滤，过滤危险标签与事件，仅作为辅助防御。

Q5：XSS 和 CSRF 的核心区别是什么？

答题参考
XSS：攻击者执行 JS，拿到受害者 Cookie，主动发起请求。攻击者可以看到返回数据。
CSRF：攻击者拿不到 Cookie，只是诱导用户在登录状态访问恶意页面，浏览器自动带上 Cookie 发送请求，攻击者只能触发操作，看不到返回结果。

三、文件上传漏洞

Q1：文件上传漏洞原理？

答题参考
网站支持用户上传文件，例如头像、附件。但是后端没有对上传文件做严格校验，仅做前端限制或者黑名单后缀校验。攻击者上传 php、jsp、asp 这类可执行脚本文件，访问文件对应的 URL 地址，Web 服务器解析执行脚本，拿到网站 Web 权限。

Q2：常见的文件上传绕过思路有哪些？

答题参考

前端 JS 校验绕过：前端 JS 判断后缀，抓包修改数据包内文件名后缀，直接绕过前端限制；
黑名单后缀绕过：黑名单禁止 php，但是允许 php5、phtml、phar 这类同样可以被 Apache 解析的后缀；
大小写绕过：例如.Php，服务器 Windows 系统不区分大小写；
图片马配合文件包含漏洞：上传包含一句话木马的图片，再通过文件包含漏洞解析图片里面的脚本代码。

Q3：文件上传漏洞危害？

答题参考
攻击者上传一句话木马，访问木马文件，获取网站 Webshell。可以读取网站源码、数据库配置文件，查看数据库账号密码，进而控制整个网站服务器。

Q4：文件上传的正确防御方案

答题参考

校验必须放在后端，前端校验仅做体验，不能作为安全防护；
使用白名单校验，只允许指定安全后缀（jpg、png、gif），黑名单存在大量绕过风险；
文件上传成功之后，对文件重命名为随机字符串，丢掉原始文件名；
上传文件目录配置，禁止脚本解析执行权限；
校验文件真实文件头，不仅仅看文件名后缀。

Q5：为什么黑名单策略不安全？

答题参考
黑名单只能拦截预先写好的危险后缀，Web 服务器存在大量冷门可解析后缀很容易遗漏，攻击者可以选用黑名单之外的后缀进行绕过。服务器解析规则复杂，黑名单很难覆盖全部危险后缀。

四、CSRF 跨站请求伪造

Q1：CSRF 原理是什么？

答题参考
CSRF 跨站请求伪造，核心是借用用户已登录的身份。用户登录网站，浏览器保存该站点 Cookie。攻击者构造恶意页面，页面内置自动发起业务请求的代码。当登录状态的用户访问恶意页面，浏览器会自动带上目标站点 Cookie 发送请求。服务器校验 Cookie，判定为用户本人操作，执行对应的业务操作。
关键点：攻击者无法获取、查看用户 Cookie，只是利用浏览器自动携带 Cookie 的特性。

Q2：CSRF 漏洞成立的三个前提条件？

答题参考

用户已经登录目标网站，Cookie 保存在浏览器，没有过期；
业务请求只依靠 Cookie 做身份认证，没有额外的一次性凭证校验；
诱导用户访问攻击者构造的恶意页面。

Q3：CSRF 漏洞会造成什么危害？

答题参考
攻击者可以在受害者账号下执行非自愿操作，例如修改账号密码、更换绑定手机号、提交表单、发布内容。攻击者无法看到操作返回的敏感数据，只能触发操作。

Q4：CSRF 防御手段？

答题参考
核心方案：增加一次性随机 CSRF Token。每次表单请求，后端下发唯一随机 Token，提交请求时必须携带这个 Token，后端校验 Token 合法性，Token 一次性使用。
辅助手段：校验请求 Referer 来源；高危业务操作增加二次验证，短信验证码、登录密码确认。

注意：Referer 校验存在绕过可能性，不能单独作为主防御方案。

五、未授权访问

Q1：未授权访问漏洞原理？

答题参考
网站后台页面、API 接口缺少登录身份认证校验。用户不登录、不携带 Cookie/Token，直接访问 URL 地址，就能访问页面或者接口数据。很多开发错误认为，只要 URL 地址不对外公开就安全，依靠隐藏路径做保护，这是典型的安全误区。隐藏路径不等于安全。

Q2：未授权访问和水平越权的区别？

答题参考
未授权访问：不需要登录，游客直接访问资源，没有身份；
水平越权：用户已经正常登录，属于同角色账号，但是可以访问其他同级别用户的数据。
两者都属于权限类漏洞，在 SRC 平台都属于高频漏洞。

Q3：未授权访问漏洞的危害？

答题参考
直接泄露后台敏感信息，全部用户列表、订单数据；严重情况下，可以直接新增管理员账号，接管整个后台管理系统。

Q4：如何修复未授权访问漏洞？

答题参考

全局统一拦截，所有接口、路由统一增加登录身份校验，没有登录直接拒绝访问；
后台管理接口，除登录校验之外，额外增加管理员角色权限校验；
禁止依靠隐藏 URL、复杂路径来保护资源，隐藏路径只是 “保密性通过隐匿”，不是安全防护。

六、综合高频面试题（初级岗必考）

Q：简单介绍你的 Web 安全学习路线

参考回答：
我首先学习计算机网络基础、HTTP/HTTPS 协议，理解浏览器和服务器之间数据包交互。之后搭建 DVWA 和 Pikachu 本地靶场，重点吃透 SQL 注入、XSS、文件上传、CSRF、未授权访问五大基础漏洞，每一个漏洞都手动复现，理解原理、Payload、危害和修复方案。
基础漏洞学完之后，学习 Burp Suite 抓包改包工具，学习信息收集，然后重点学习业务逻辑漏洞，在厂商公开 SRC 平台做合规漏洞挖掘，提交漏洞积累实战经验。后续计划继续学习内网渗透基础、简单代码审计，丰富自己的知识体系。

Q：靶场练习和真实 SRC 漏洞挖掘有什么不同？

参考回答：
靶场漏洞是预先设计好的，漏洞触发点明显，没有 WAF 防护，Payload 直接就能触发。真实线上业务漏洞隐藏在业务流程里面，更多是业务逻辑漏洞，不会有明显提示。
靶场的目的是理解漏洞底层原理；SRC 是在厂商授权资产内，梳理业务流程人工测试，测试必须遵守平台规则，最小化验证漏洞，不能批量遍历 ID，不能影响业务。靶场练原理，SRC 锻炼业务思维。

Q：在挖 SRC 的时候，你会优先测试哪类漏洞，为什么？

参考回答：优先测试权限类逻辑漏洞，比如未授权访问、水平越权、验证码缺陷。这类漏洞不需要复杂 Payload，依靠梳理业务流程、抓包修改参数就能验证，不需要复杂注入技巧，新手更容易挖到有效漏洞，也是线上业务出现最多的漏洞类型。

Q：WAF 是什么？简单讲一下作用

参考回答：WAF 是 Web 应用防火墙，部署在网站前端，分析 HTTP 请求，识别恶意 Payload，拦截 SQL 注入、XSS、扫描等攻击请求，保护 Web 应用。WAF 可以拦截大部分已知攻击载荷，但是可以被编码、变形 Payload 绕过，属于防护手段，不能替代代码层面安全修复。

七、面试答题加分小技巧

回答的时候，尽量结合靶场实操经历，例如：“我在 Pikachu 靶场练习越权漏洞的时候……”，面试官会认为你动手能力强，不是只会背理论。
不要夸大自己能力，不会的问题直接如实说明，可以说这块暂时还在学习。不懂强行编造很容易被面试官追问拆穿。
分清漏洞边界，不要混淆各类漏洞。很多初级面试者容易把 CSRF 和 XSS、未授权和越权混在一起，这是高频扣分点。
记住合规底线。面试如果问到线上测试，一定要强调仅在授权靶场、SRC 授权资产内测试，不会私自扫描公网站点，企业非常看重安全从业者的法律意识。

结尾

这五大基础漏洞是 Web 安全的地基，初级安全岗位面试，面试官主要考察基础功底，并不会直接问复杂红队、内核漏洞。不要死记硬背文字，理解背后的逻辑，能讲清楚漏洞如何产生、如何利用、如何防御，就已经超过很多同阶段小白。
靶场实操 + 原理理解 + 面试问答，三者结合，既可以用于漏洞学习，也可以用来准备安全实习生、初级渗透岗位面试。