1. 項(xiàng)目概述一次完整的XSS攻防思維訓(xùn)練最近在帶新人做安全測(cè)試的入門訓(xùn)練我總會(huì)把DVWA靶場(chǎng)的XSSReflected關(guān)卡作為第一個(gè)實(shí)戰(zhàn)點(diǎn)。這不僅僅是因?yàn)樗?jīng)典更因?yàn)閺腖ow到Impossible的四個(gè)難度等級(jí)完美地勾勒出了一條從攻擊者視角到防御者思維的完整演進(jìn)路徑。很多剛接觸Web安全的朋友可能知道XSS就是“彈個(gè)窗”但為什么要彈窗、怎么彈、以及對(duì)方如何讓你彈不出來(lái)這背后的攻防博弈才是精髓。DVWA這個(gè)靶場(chǎng)就像一位耐心的教練把這場(chǎng)博弈拆解成了四個(gè)回合讓你親手去攻再引導(dǎo)你去守。今天我就結(jié)合自己帶訓(xùn)和實(shí)戰(zhàn)中的經(jīng)驗(yàn)把這四個(gè)回合的“攻防思維演進(jìn)”過(guò)程掰開(kāi)揉碎了講清楚這遠(yuǎn)比單純記幾個(gè)Payload有用得多。所謂Reflected XSS反射型跨站腳本攻擊其核心在于“反射”——攻擊者構(gòu)造的惡意腳本通過(guò)用戶的一次性請(qǐng)求比如點(diǎn)擊一個(gè)鏈接、提交一個(gè)表單被發(fā)送到服務(wù)器服務(wù)器未經(jīng)充分處理就直接“反射”回用戶的瀏覽器并執(zhí)行。DVWA的XSSReflected模塊模擬的正是一個(gè)簡(jiǎn)單的用戶輸入回顯場(chǎng)景比如一個(gè)搜索框。我們的目標(biāo)就是在這個(gè)場(chǎng)景下逐步提升攻擊的繞過(guò)技巧并理解對(duì)應(yīng)防御措施的升級(jí)邏輯。這個(gè)過(guò)程本質(zhì)上是在學(xué)習(xí)如何像攻擊者一樣思考漏洞再像防御者一樣構(gòu)建防線。2. 環(huán)境準(zhǔn)備與靶場(chǎng)設(shè)定2.1 DVWA靶場(chǎng)快速部署要點(diǎn)雖然網(wǎng)上有很多一鍵安裝包但我建議初學(xué)者至少有一次從零開(kāi)始搭建DVWA的經(jīng)歷。這能幫你理解一個(gè)Web應(yīng)用的基本運(yùn)行環(huán)境。最經(jīng)典的組合是XAMPP DVWA源碼。首先去Apache Friends官網(wǎng)下載對(duì)應(yīng)你操作系統(tǒng)的XAMPP安裝包。安裝過(guò)程沒(méi)什么坑唯一要注意的是安裝路徑不要有中文和空格比如直接裝在C:\xampp或D:\xampp下。安裝完成后啟動(dòng)XAMPP控制面板點(diǎn)擊Apache和MySQL模塊旁邊的“Start”按鈕?？吹蕉丝谔?hào)旁亮起綠燈說(shuō)明服務(wù)啟動(dòng)成功。接著去DVWA的GitHub官方倉(cāng)庫(kù)下載最新源碼。將下載的ZIP包解壓把整個(gè)dvwa文件夾復(fù)制到XAMPP的網(wǎng)站根目錄下。在Windows上這個(gè)目錄通常是C:\xampp\htdocs\。完成后你的DVWA路徑應(yīng)該是C:\xampp\htdocs\dvwa?，F(xiàn)在打開(kāi)瀏覽器訪問(wèn)http://localhost/dvwa。你會(huì)看到DVWA的安裝引導(dǎo)頁(yè)面。第一個(gè)攔路虎是配置文件。你需要找到dvwa/config目錄將config.inc.php.dist文件復(fù)制一份并重命名為config.inc.php。然后用文本編輯器如VS Code、Notepad打開(kāi)這個(gè)新文件。關(guān)鍵配置在這里$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] ; $_DVWA[ db_port ] 3306;對(duì)于本地測(cè)試環(huán)境db_user填rootdb_password留空即XAMPP中MySQL的默認(rèn)空密碼是沒(méi)問(wèn)題的。保存文件后回到瀏覽器點(diǎn)擊“Create / Reset Database”按鈕。如果一切順利頁(yè)面會(huì)提示數(shù)據(jù)庫(kù)創(chuàng)建成功并自動(dòng)跳轉(zhuǎn)到登錄頁(yè)。默認(rèn)的登錄賬號(hào)是admin密碼是password。注意很多新手在這一步會(huì)遇到“數(shù)據(jù)庫(kù)連接錯(cuò)誤”。請(qǐng)按順序排查1. 確認(rèn)XAMPP控制面板中MySQL服務(wù)是否真的啟動(dòng)綠燈2. 檢查config.inc.php中的數(shù)據(jù)庫(kù)密碼是否與你本地MySQL的密碼一致如果修改過(guò)3. 檢查是否有其他程序如本地安裝的MySQL服務(wù)占用了3306端口。登錄后別急著開(kāi)始測(cè)試。請(qǐng)務(wù)必點(diǎn)擊頁(yè)面左側(cè)的“DVWA Security”鏈接將安全等級(jí)設(shè)置為“Low”。這是我們的起點(diǎn)。不同安全等級(jí)對(duì)應(yīng)著后端不同的源代碼文件實(shí)現(xiàn)了不同強(qiáng)度的防護(hù)這是我們整個(gè)攻防演進(jìn)實(shí)驗(yàn)的基礎(chǔ)。2.2 核心工具與瀏覽器配置工欲善其事必先利其器。對(duì)于XSS測(cè)試瀏覽器的開(kāi)發(fā)者工具是你最重要的伙伴。首選Chrome或EdgeChromium內(nèi)核。按下F12打開(kāi)開(kāi)發(fā)者工具我們重點(diǎn)關(guān)注幾個(gè)面板Elements元素查看最終渲染的DOM結(jié)構(gòu)。有時(shí)服務(wù)器返回的HTML和瀏覽器解析后的DOM是不一樣的XSS成功與否要看腳本是否被插入到DOM中。Console控制臺(tái)查看JavaScript錯(cuò)誤和執(zhí)行輸出。你注入的alert()彈窗信息或者console.log()的調(diào)試信息都會(huì)在這里顯示。Network網(wǎng)絡(luò)查看HTTP請(qǐng)求和響應(yīng)的原始數(shù)據(jù)。你可以清晰地看到你提交的Payload是如何被發(fā)送到服務(wù)器以及服務(wù)器返回的、未經(jīng)瀏覽器渲染的原始響應(yīng)是什么。這對(duì)于分析過(guò)濾和編碼規(guī)則至關(guān)重要。Sources源代碼可以設(shè)置JavaScript斷點(diǎn)進(jìn)行調(diào)試對(duì)于分析復(fù)雜的XSS利用鏈有幫助。為了更方便地測(cè)試我建議在測(cè)試時(shí)暫時(shí)禁用瀏覽器的XSS審計(jì)器。Chrome的XSS Auditor雖然在新版本中已被移除但部分安全機(jī)制仍存在或Edge/Chrome內(nèi)置的反射型XSS保護(hù)可能會(huì)攔截一些簡(jiǎn)單的測(cè)試Payload導(dǎo)致你誤以為攻擊失敗。更可靠的做法是在開(kāi)發(fā)者工具的Network面板中查看服務(wù)器返回的原始響應(yīng)里是否包含你的Payload。另外準(zhǔn)備一個(gè)簡(jiǎn)單的文本編輯器來(lái)記錄和構(gòu)造Payload。我習(xí)慣用VS Code創(chuàng)建一個(gè)xss_payloads.txt文件把常用的測(cè)試向量分門別類記錄下來(lái)。Burp Suite這類專業(yè)工具在后續(xù)復(fù)雜測(cè)試中會(huì)很有用但在DVWA的初級(jí)階段瀏覽器和開(kāi)發(fā)者工具已經(jīng)足夠。3. 從Low到Impossible四階攻防實(shí)戰(zhàn)解析3.1 Low級(jí)別無(wú)防護(hù)的“裸奔”狀態(tài)與基礎(chǔ)攻擊原理將DVWA安全級(jí)別設(shè)為L(zhǎng)ow進(jìn)入“XSS (Reflected)”頁(yè)面。你會(huì)看到一個(gè)簡(jiǎn)單的輸入框提示“What‘s your name?”提交后頁(yè)面會(huì)顯示“Hello[你的輸入]”。查看后端源碼vulnerabilities/xss_r/source/low.php關(guān)鍵代碼只有一行?php header (X-XSS-Protection: 0); // 這行代碼禁用了瀏覽器自帶的XSS過(guò)濾器為測(cè)試掃清障礙 $name $_GET[name]; // 直接獲取用戶輸入沒(méi)有任何處理 echo preHello $name/pre; // 直接將輸入拼接進(jìn)HTML并輸出 ?這就是最原始的漏洞形態(tài)不可信數(shù)據(jù)用戶輸入的name參數(shù)未經(jīng)任何處理直接嵌入到了HTML上下文中。攻擊者的目標(biāo)就是讓輸入的數(shù)據(jù)被瀏覽器解析為可執(zhí)行的JavaScript代碼而非普通文本?；A(chǔ)攻擊實(shí)操最經(jīng)典的測(cè)試Payloadscriptalert(XSS)/script。在輸入框輸入這個(gè)點(diǎn)擊提交。你會(huì)看到一個(gè)彈窗顯示“XSS”。攻擊成功。查看頁(yè)面源代碼CtrlU你會(huì)發(fā)現(xiàn)輸出變成了preHello scriptalert(XSS)/pre。我們的script標(biāo)簽被原封不動(dòng)地插入到了pre標(biāo)簽內(nèi)部。瀏覽器在解析HTML時(shí)遇到了script標(biāo)簽就會(huì)執(zhí)行其中的JavaScript代碼。為什么這樣就能執(zhí)行這需要理解HTML的解析過(guò)程。瀏覽器從上到下解析HTML文檔構(gòu)建DOM樹(shù)。當(dāng)解析器遇到一個(gè)開(kāi)始標(biāo)簽如script它會(huì)進(jìn)入“標(biāo)簽內(nèi)容”狀態(tài)并將其后的內(nèi)容視為腳本直到遇到對(duì)應(yīng)的結(jié)束標(biāo)簽/script。然后這些腳本內(nèi)容會(huì)被傳遞給JavaScript引擎執(zhí)行。在這個(gè)案例中由于服務(wù)器沒(méi)有對(duì)和進(jìn)行任何轉(zhuǎn)義我們成功“欺騙”了HTML解析器插入了一個(gè)新的腳本標(biāo)簽。思維要點(diǎn)在Low級(jí)別攻擊思維是直白的。防御的缺失讓我們可以專注于理解“輸入如何影響輸出”這一基本因果關(guān)系。此時(shí)任何有效的JavaScript代碼都可以作為Payload例如scriptconsole.log(document.cookie)/script可以嘗試竊取當(dāng)前會(huì)話的Cookie雖然DVWA的Cookie有HttpOnly屬性保護(hù)但原理如此。3.2 Medium級(jí)別初級(jí)的過(guò)濾與繞過(guò)思維將安全級(jí)別調(diào)至Medium再次查看源碼medium.php?php header (X-XSS-Protection: 0); $name $_GET[name]; // 嘗試過(guò)濾script標(biāo)簽 $name str_replace( script, , $name ); $name str_replace( /script, , $name ); echo preHello $name/pre; ?防御升級(jí)了代碼使用str_replace函數(shù)試圖查找并刪除字符串中的script和/script。這是一種黑名單過(guò)濾策略但實(shí)現(xiàn)得非常初級(jí)。攻擊思維演進(jìn)尋找過(guò)濾邏輯的缺陷。 初級(jí)過(guò)濾的常見(jiàn)缺陷包括大小寫敏感str_replace是大小寫敏感的。script被過(guò)濾但Script、sCrIpT呢嘗試PayloadScRiPtalert(XSS)/ScRiPt。成功彈窗。這是因?yàn)镻HP的str_replace默認(rèn)區(qū)分大小寫我們的變體繞過(guò)了過(guò)濾。遞歸過(guò)濾不足假設(shè)過(guò)濾函數(shù)寫成了while(strpos($name, script) ! false) { $name str_replace(script, , $name); }這樣的循環(huán)那么嵌套的scriptscript在經(jīng)過(guò)一次替換后內(nèi)層的script會(huì)暴露出來(lái)可能造成繞過(guò)。但本例中不是。雙寫繞過(guò)如果過(guò)濾是簡(jiǎn)單的字符串替換且只執(zhí)行一次可以考慮雙寫。例如如果過(guò)濾script那么提交scrscriptipt過(guò)濾程序刪除中間的script后剩下的字符會(huì)拼接成新的script。本例中我們提交scrscriptiptalert(XSS)/scr/scriptipt經(jīng)過(guò)過(guò)濾中間的script和/script被刪除剩下的部分正好組合成有效的script和/script標(biāo)簽。實(shí)測(cè)這個(gè)Payload在Medium級(jí)別也有效。利用其他HTML標(biāo)簽事件處理器過(guò)濾了script標(biāo)簽但XSS不一定非要用它。許多HTML標(biāo)簽支持事件屬性如onclick,onmouseover,onload,onerror或偽協(xié)議如javascript:。例如IMG標(biāo)簽img srcx onerroralert(XSS)。當(dāng)圖片加載失敗srcx不存在onerror事件中的JavaScript代碼就會(huì)執(zhí)行。SVG標(biāo)簽svg onloadalert(XSS)。SVG本質(zhì)上是XML其onload事件在元素加載時(shí)觸發(fā)。輸入框標(biāo)簽input typetext onfocusalert(XSS) autofocus。autofocus屬性讓輸入框自動(dòng)獲取焦點(diǎn)從而觸發(fā)onfocus事件。實(shí)操心得在Medium級(jí)別不要只滿足于找到一種繞過(guò)方法。應(yīng)該系統(tǒng)地嘗試上述所有思路并觀察Network面板中服務(wù)器返回的原始響應(yīng)。這能幫你準(zhǔn)確判斷過(guò)濾到底發(fā)生在哪里以及過(guò)濾后的結(jié)果是什么。例如提交ScRiPt后查看響應(yīng)會(huì)發(fā)現(xiàn)它完好無(wú)損證實(shí)了過(guò)濾是大小寫敏感的。3.3 High級(jí)別嚴(yán)格的正則過(guò)濾與終極標(biāo)簽繞過(guò)將安全級(jí)別調(diào)至High查看源碼high.php?php header (X-XSS-Protection: 0); $name $_GET[name]; // 使用正則表達(dá)式進(jìn)行嚴(yán)格匹配和替換 $name preg_replace( /(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i, , $name ); echo preHello $name/pre; ?防御再次升級(jí)這里使用了preg_replace函數(shù)配合正則表達(dá)式/(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i。這個(gè)正則非常強(qiáng)大i修飾符表示不區(qū)分大小寫。(.*)匹配任意數(shù)量的任意字符除了換行符。整個(gè)正則匹配的是一個(gè)開(kāi)頭后面依次但中間可以插入任意字符出現(xiàn)s、c、r、i、p、t的字符串。這意味著無(wú)論script被寫成ScRiPt、s c r i p t還是s\x0ccript都會(huì)被匹配并替換為空字符串。攻擊思維演進(jìn)放棄script標(biāo)簽尋找新的注入點(diǎn)。 當(dāng)一條路被徹底堵死時(shí)攻擊者必須轉(zhuǎn)換思路。既然script標(biāo)簽的任何變體都被過(guò)濾那么我們的目標(biāo)就不再是插入腳本標(biāo)簽而是利用現(xiàn)有或可插入的非腳本HTML標(biāo)簽通過(guò)其事件屬性來(lái)執(zhí)行JavaScript。實(shí)戰(zhàn)繞過(guò)IMG標(biāo)簽的onerror事件Payload:img src1 onerroralert(XSS)。原理我們插入了一個(gè)img標(biāo)簽。其src屬性指向一個(gè)不存在的資源1。瀏覽器嘗試加載失敗隨即觸發(fā)onerror事件處理器執(zhí)行其中的alert(XSS)代碼。分析High級(jí)別的正則只針對(duì)包含“script”字符序列的標(biāo)簽。img標(biāo)簽及其onerror屬性完全不在這個(gè)正則的匹配范圍內(nèi)因此順利通過(guò)過(guò)濾。其他標(biāo)簽測(cè)試同樣之前提到的svg onloadalert(XSS)或body onloadalert(XSS)等Payload只要不包含被過(guò)濾的標(biāo)簽名理論上都可以使用。你可以構(gòu)造a hrefjavascript:alert(XSS)click/a利用javascript:偽協(xié)議。但注意在High級(jí)別的回顯上下文中可能需要用戶點(diǎn)擊鏈接而反射型XSS通常追求自動(dòng)觸發(fā)所以onerror或onload這類自動(dòng)觸發(fā)事件更受青睞。思維要點(diǎn)High級(jí)別的對(duì)抗標(biāo)志著思維從“如何變形以繞過(guò)對(duì)特定字符串的過(guò)濾”升級(jí)到了“如何在不使用被禁功能的前提下達(dá)到相同目的”。這要求攻擊者對(duì)Web平臺(tái)HTML、JavaScript、瀏覽器解析有更全面的了解知道除了script還有哪些“武器”可用。3.4 Impossible級(jí)別防御的終極形態(tài)——輸出編碼將安全級(jí)別調(diào)至Impossible查看源碼impossible.php?php header (X-XSS-Protection: 0); $name $_GET[name]; // 使用htmlspecialchars函數(shù)進(jìn)行輸出編碼 $name htmlspecialchars( $name, ENT_QUOTES, UTF-8 ); echo preHello $name/pre; ?這里出現(xiàn)了防御XSS的“銀彈”——輸出編碼/轉(zhuǎn)義。htmlspecialchars()函數(shù)的作用是將HTML中的特殊字符轉(zhuǎn)換為它們的HTML實(shí)體HTML entities。關(guān)鍵參數(shù)ENT_QUOTES表示同時(shí)轉(zhuǎn)換單引號(hào)和雙引號(hào)UTF-8指定字符編碼。它具體做了什么轉(zhuǎn)換為amp;轉(zhuǎn)換為quot;轉(zhuǎn)換為#x27;(或apos;取決于配置)轉(zhuǎn)換為lt;轉(zhuǎn)換為gt;防御原理深度解析 當(dāng)我們提交Payloadimg src1 onerroralert(XSS)時(shí)經(jīng)過(guò)htmlspecialchars處理輸出到HTML中的內(nèi)容變成了preHello lt;img src1 onerroralert(#x27;XSS#x27;)gt;/pre瀏覽器在解析時(shí)會(huì)將lt;解釋為字符將gt;解釋為將#x27;解釋為單引號(hào)。因此整個(gè)Payload被當(dāng)作純文本數(shù)據(jù)Text Node顯示在頁(yè)面上瀏覽器絕對(duì)不會(huì)將其解析為HTML標(biāo)簽或?qū)傩?。攻擊被徹底終結(jié)。攻擊思維在此失效與防御思維在Impossible級(jí)別傳統(tǒng)的注入攻擊思維已經(jīng)無(wú)效。攻擊者必須尋找其他層面的漏洞例如應(yīng)用程序邏輯錯(cuò)誤也許存在其他地方?jīng)]有正確編碼?？蛻舳丝蚣苈┒慈鏏ngularJS的舊版本存在客戶端模板注入。不安全的JavaScript操作如使用innerHTML或document.write()時(shí)拼接了未編碼的用戶數(shù)據(jù)。而對(duì)于防御者而言Impossible級(jí)別展示了白名單思維和上下文相關(guān)編碼的最佳實(shí)踐白名單優(yōu)于黑名單雖然這里用的是編碼而非白名單但原則相通。定義什么是允許的安全的字符集而不是什么是不允許的危險(xiǎn)模式。在正確的上下文中進(jìn)行編碼在HTML正文中使用HTML實(shí)體編碼。如果數(shù)據(jù)要放入HTML屬性值還需要注意引號(hào)。如果數(shù)據(jù)要放入JavaScript代碼中則需要使用JavaScript Unicode轉(zhuǎn)義。htmlspecialchars($var, ENT_QUOTES)是一種在HTML上下文中兼顧屬性和文本的穩(wěn)健做法。前端框架的自動(dòng)編碼現(xiàn)代前端框架如React、Vue、Angular默認(rèn)都會(huì)對(duì)渲染到模板中的數(shù)據(jù)進(jìn)行轉(zhuǎn)義這為開(kāi)發(fā)者提供了強(qiáng)有力的默認(rèn)保護(hù)。4. 攻防思維演進(jìn)總結(jié)與實(shí)戰(zhàn)技巧回顧這四個(gè)級(jí)別我們可以清晰地看到一條思維演進(jìn)線Low → Medium攻擊者從無(wú)腦注入轉(zhuǎn)變?yōu)樵囂竭^(guò)濾規(guī)則。防御者從毫無(wú)防護(hù)到嘗試黑名單過(guò)濾但因?qū)崿F(xiàn)不嚴(yán)謹(jǐn)而失敗。Medium → High攻擊者從簡(jiǎn)單繞過(guò)升級(jí)為徹底規(guī)避換用其他標(biāo)簽/事件。防御者從簡(jiǎn)單字符串替換升級(jí)為嚴(yán)格正則匹配封堵了某一類攻擊向量但防御面仍不完整。High → Impossible攻擊者在既定HTML注入路徑上已無(wú)計(jì)可施。防御者采用了根本性的解決方案——輸出編碼將用戶輸入始終視為文本從根本上切斷了注入的可能性。給開(kāi)發(fā)者的防御建議原則一切用戶輸入皆不可信。這包括URL參數(shù)、POST數(shù)據(jù)、HTTP頭、Cookie、甚至來(lái)自數(shù)據(jù)庫(kù)的“已存儲(chǔ)”數(shù)據(jù)可能被其他途徑污染。首選使用成熟的框架和庫(kù)的自動(dòng)轉(zhuǎn)義功能。不要手動(dòng)拼接HTML。核心實(shí)施上下文相關(guān)的輸出編碼。HTML上下文使用htmlspecialchars($var, ENT_QUOTES | ENT_HTML5, UTF-8)。JavaScript上下文將數(shù)據(jù)放入script標(biāo)簽時(shí)應(yīng)使用json_encode()輸出為JSON而不是拼接字符串。URL上下文使用urlencode()或rawurlencode()。CSS上下文進(jìn)行嚴(yán)格的校驗(yàn)或編碼。補(bǔ)充內(nèi)容安全策略CSP在HTTP頭中設(shè)置Content-Security-Policy可以告訴瀏覽器只允許加載和執(zhí)行來(lái)自特定來(lái)源的腳本、樣式等資源即使網(wǎng)站存在XSS漏洞也能極大限制其危害。例如Content-Security-Policy: default-src self; script-src self。Cookie安全為會(huì)話Cookie設(shè)置HttpOnly和Secure屬性防止通過(guò)JavaScript竊取HttpOnly和在不安全的HTTP連接中傳輸Secure。給安全測(cè)試者的攻擊技巧擴(kuò)展測(cè)試向量庫(kù)建立自己的XSS Payload測(cè)試庫(kù)涵蓋各種標(biāo)簽、事件、編碼和混淆技巧。關(guān)注輸入點(diǎn)與輸出點(diǎn)不僅要找到所有輸入?yún)?shù)更要追蹤這些參數(shù)最終出現(xiàn)在響應(yīng)頁(yè)面的哪個(gè)位置HTML、JavaScript、CSS、屬性不同位置需要不同的Payload。使用工具輔助在真實(shí)復(fù)雜環(huán)境中使用Burp Suite的Scanner、Intruder或Repeater模塊可以高效地進(jìn)行模糊測(cè)試和Payload自動(dòng)化測(cè)試。DOM型XSSDVWA的Reflected XSS是服務(wù)端反射的。還有一種DOM型XSS漏洞存在于客戶端JavaScript代碼中如document.write(location.hash)其檢測(cè)和利用方式有所不同需要單獨(dú)學(xué)習(xí)。最后DVWA的XSSReflected關(guān)卡像是一個(gè)微縮的戰(zhàn)場(chǎng)。通關(guān)它你收獲的不應(yīng)只是幾個(gè)能彈窗的Payload而是貫穿整個(gè)Web安全領(lǐng)域的核心思維模式理解數(shù)據(jù)流、識(shí)別信任邊界、利用解析差異、實(shí)施縱深防御。無(wú)論是作為攻擊方尋找漏洞還是作為防御方構(gòu)建系統(tǒng)這種思維都是最寶貴的武器。在實(shí)際項(xiàng)目中漏洞往往比DVWA復(fù)雜隱蔽得多但拆解它們的底層邏輯與這四個(gè)級(jí)別所揭示的原理一脈相承。