Web 安全学习笔记模板（适合日常记录靶场复现）

关注

原创 2026-09-28 15:38:26 85 阅读 AI 写同款· GEO 优化 ›

SSTI模板注入漏洞原理与Vulhub靶场实战复现模板引擎是现代Web开发中分离前后端逻辑的核心组件，它通过将动态数据与静态模板结合生成最终页面。其工作原理是解析模板中的特定语法标记，并用实际数据替换。当用户输入被错误地当作模板语法解析时，就会产生服务器端模板注入（SSTI）漏洞，这种代码注入问题可能导致远程命令执行（RCE）等严重后果。在安全测试领域，理解SSTI的利用链构造对于漏洞挖掘和防御至关重要。通过Vulhub这样的开源漏洞靶场，安全研究人员可以安全地复现SSTI漏洞，掌握从信息探测、上下文探索到最终实现命令执行的完整流程。本次实战聚焦于Jinj 阅读详情

Web 安全学习笔记模板（适合日常记录靶场复现）

前言

很多小白学习 Web 安全会遇到一个共性问题：漏洞跟着视频复现一遍，做完不做记录，过几天就遗忘；只会机械复制 Payload，不会独立梳理漏洞成因；等到面试的时候，无法清晰描述漏洞原理与利用过程。
靶场复现的核心价值不只是 “打通漏洞”，而是理解漏洞产生根源、掌握数据包交互逻辑、总结绕过思路、梳理修复方案。标准化笔记就是把单次实操沉淀成自己的知识库。
本模板适配 DVWA、Pikachu、Vulhub 等各类 Web 靶场，每复现一个漏洞直接填空记录，笔记兼顾实操复盘、面试复习，后续 SRC 挖洞也可以沿用这套思路记录测试过程。

笔记书写规则

拒绝流水账，精简描述，重点突出原理、数据包、踩坑点；
截图标注关键信息：请求包、响应回显、报错信息；
禁止大段复制网上原文，尽量使用自己理解后的语言描述；
必须保留踩坑记录，这是技术成长最重要的部分；
最后单独整理简短面试口述总结，面试复习直接使用。

通用漏洞复现笔记模板

【漏洞基本信息】

漏洞名称：
漏洞类型：SQL 注入 / XSS / 文件上传 / 文件包含 / CSRF / 未授权访问 / 水平越权 / 垂直越权 / 业务逻辑漏洞 / 其他
所属靶场：DVWA / Pikachu / Vulhub / 自建靶场
难度等级：Low / Medium / High / Impossible
复现时间：
漏洞简述（一句话概括）：

简述要求：写明因为什么样的代码缺陷，会造成哪一类安全风险。

【一、漏洞原理】

核心成因：
漏洞触发必要前置条件：
可控参数位置：URL 参数 / POST 请求体 / Cookie / HTTP 请求头 / JSON 参数

【二、漏洞复现完整步骤】

步骤 1：
步骤 2：
步骤 3：
步骤 4：

要求：步骤具备可复现性，其他人按照步骤操作也可以复现漏洞，不要省略关键操作。

【三、关键 Payload / 数据包】

最终利用 Payload：
请求包（Raw 原始数据包，脱敏无关内容）：

粘贴原始请求包

响应包漏洞特征：

记录数据库报错、页面回显、延时响应、状态码、数据泄露等特征。

【四、漏洞核心利用思路】

本次复现的利用思路：
真实环境中同类漏洞常见利用场景：
拓展利用方式（进阶可选）：

【五、防护绕过思路（Medium/High 级别必填）】

后端做了哪些过滤、防护限制：
本次使用的绕过手段：
其他可以尝试的绕过思路：

【六、漏洞危害分析】

数据层面危害：
业务层面危害：
权限层面危害：

【七、修复方案 + 个人理解】

标准安全修复方案（面试标准答案）：
开发人员容易踩的编码错误：
额外安全加固建议：

【八、本次复现踩坑记录（重点）】

复现失败、报错原因：
排查解决过程：
同类漏洞后续测试需要留意的要点：

【九、面试话术总结（精简 3~5 行）】

提炼原理、触发条件、危害、修复方案，适合口头回答面试官提问。

模板填写示例（DVWA SQL 注入 Low）

【漏洞基本信息】

漏洞名称：SQL 注入漏洞
漏洞类型：Web 注入漏洞
所属靶场：DVWA
难度等级：Low
复现时间：2026.09.28
漏洞简述：后端直接拼接前端传入的 id 参数到 SQL 查询语句，没有使用预编译，也没有任何过滤，攻击者可以构造恶意 SQL 语句篡改查询逻辑，读取数据库内任意数据。

【一、漏洞原理】

核心成因：后端代码直接拼接用户可控输入，没有采用参数化预编译查询；
漏洞触发必要前置条件：输入内容直接拼入 SQL 字符串，单引号没有转义；
可控参数位置：URL GET 参数。

【二、漏洞复现完整步骤】

步骤 1：登录 DVWA 后台，安全等级设置 Low，进入 SQL Injection 模块；
步骤 2：输入正常 id=1，页面返回用户信息，确认参数生效；
步骤 3：构造 Payload 1' or 1=1 -- 提交；
步骤 4：页面返回全部用户数据，注入成功。

【三、关键 Payload / 数据包】

最终利用 Payload：1' or 1=1 --
请求包：

GET /dvwa/vulnerabilities/sqli/?id=1%27+or+1%3D1+--+&Submit=Submit HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0
Cookie: security=low; PHPSESSID=xxxxxxx

响应包漏洞特征：页面返回全部账号 ID、用户名，SQL 查询逻辑被篡改。

【四、漏洞核心利用思路】

利用单引号闭合原有 SQL 的字符串；
增加永真条件or 1=1，实现查询表中全部数据；
使用注释符 – 注释掉 SQL 语句剩余部分，避免语法报错。

【五、防护绕过思路】

Low 级别无任何后端过滤，不需要绕过，属于原生漏洞。

【六、漏洞危害分析】

数据层面危害：查询数据库全部表数据，泄露账号、密码等敏感信息；
业务层面危害：可以随意查询业务数据，破坏数据访问控制；
权限层面危害：如果数据库账号权限较高，可以读取服务器本地文件，写入一句话木马获取服务器权限。

【七、修复方案 + 个人理解】

标准安全修复方案：优先使用预编译参数化查询，从根源隔离用户输入与 SQL 代码；
开发常犯错误：直接拼接外部输入到 SQL 语句，认为简单过滤关键字就能防御注入；
加固建议：数据库账号最小权限原则，业务账号禁止 file、写文件等高权限。

【八、本次复现踩坑记录】

踩坑：注释符--后面缺少空格，SQL 语法报错，Payload 失效；
解决：--后面增加空格，正确闭合语句；
注意：GET 参数在浏览器会自动 URL 编码，手动构造 Payload 推荐在 Burp Repeater 中修改。

【九、面试话术总结】

SQL 注入是因为后端直接拼接用户可控参数到 SQL 语句，没有使用预编译。攻击者可以利用特殊字符闭合原有语句，篡改查询逻辑，读取数据库敏感数据。严重情况下可读取服务器文件。核心修复手段是参数化预编译查询，配合输入校验和数据库最小权限。

不同漏洞记录侧重点参考

SQL 注入
重点记录：闭合方式、注入类型（联合 / 布尔 / 时间盲注）、Payload、报错特征、WAF / 关键字绕过、预编译修复原理。
XSS（反射 / 存储 / DOM）
重点记录：触发位置、输出点是否转义、Payload 过滤绕过方式、CSP 防护、Cookie 的 HttpOnly 属性区分。
文件上传漏洞
重点记录：前端 JS 校验绕过、黑名单后缀绕过、MIME 类型校验、文件头检测、上传目录是否可解析脚本、随机重命名防护。
CSRF
重点记录：请求是否携带 Token、浏览器自动携带 Cookie 的特点，区分 CSRF 和 XSS，Referer 校验的局限性。
未授权 / 越权漏洞
重点记录：是否需要登录、参数是否可控、权限校验位置（前端 / 后端），SRC 测试最小验证原则。