3. SDK漏洞分类：常见漏洞类型
做SDK安全评估有些年头了，我个人习惯把SDK漏洞分成几大类。说白了，不管多花哨的漏洞，基本都能归到注入、越权、逻辑漏洞这些大筐里。今天咱们就掰开揉碎了聊聊这些常见类型。
3.1 注入漏洞
注入漏洞在SDK里相当常见。我见过不少开发者在对接第三方SDK时，直接把用户输入拼到查询语句或命令里，结果就出事了。
核心问题：未对输入做严格的过滤或转义，导致攻击者能通过构造特殊输入来篡改程序执行逻辑。
常见注入类型包括：
- SQL注入：SDK在本地存储数据时拼接SQL语句
- 命令注入：调用系统命令时未过滤参数
- 代码注入：动态执行脚本时被插入恶意代码
- LDAP注入：在认证模块中构造LDAP查询
我踩过的坑：有一次审计一个广告SDK，发现它在处理广告位ID时直接拼到SQLite查询里。攻击者只要传个 1' OR '1'='1，就能把整个广告配置表拖出来。嗯，这就是典型的输入过滤没做到位。
3.2 越权漏洞
越权说白了就是「能访问本不该访问的东西」。SDK里这个问题不少，我遇到过很多次。
水平越权：同级别用户之间互相访问资源。比如A用户能通过SDK接口查到B用户的私密数据。
垂直越权：低权限用户干高权限的事。比如普通用户能调用管理员才该用的SDK接口。
注意：SDK场景下越权常发生在两个地方：一个是SDK内部的资源访问控制没做好，另一个是SDK暴露给外部的接口权限校验缺失。我曾经审计过一个支付SDK，结果发现它有个调试接口没关，任何人只要知道URL就能修改交易状态。
为什么会这样？你想想看，很多SDK开发者只关注功能实现，权限这块容易被忽略。特别是那些「快糙猛」的项目，越权漏洞一抓一个准。
3.3 逻辑漏洞
逻辑漏洞是最有意思的一类。它不是代码写错了，而是业务逻辑设计上有缺陷。
| 逻辑漏洞子类型 | 典型表现 | SDK中的例子 |
|---|---|---|
| 流程绕过 | 跳过某个关键步骤 | 支付SDK跳过签名验证直接回调 |
| 状态缺陷 | 未正确处理异常状态 | OAuth SDK在过期后仍放行 |
| 金额/次数篡改 | 修改关键数值参数 | 积分SDK修改兑换比例 |
| 竞争条件 | 并发操作导致数据不一致 | 文件上传SDK的race condition |
我遇到过的典型例子：一个社交分享SDK，它的授权流程是先请求，再用换用户信息。结果我发现，这个SDK在验证那一步根本没做——你只要伪造一个格式正确的就能直接拿到用户数据。这就是典型的流程绕过漏洞。
3.4 其他常见漏洞
除了上面三大类，还有几个常客：
- 文件操作漏洞：路径遍历、任意文件读写。我记得有个文件上传SDK，直接把文件名拼到路径里，连基础的过滤都没有。
- 数据泄露：敏感信息硬编码、日志打印过多。很多SDK在调试日志里直接打印密钥，上线前忘记关了。
- 反序列化漏洞：SDK内部或与服务器通信时用了不安全的反序列化方式。
- 加密缺陷：使用弱算法、密钥硬编码、随机数可预测。
避坑指南：我曾经审过一个物联网SDK，它在设备配网阶段用了固定的AES密钥和IV。你想想看，固定密钥等于没加密，攻击者只要抓一次包就能破解所有设备的通信。所以啊，做SDK安全评估时，加密这块一定要仔细看。
3.5 漏洞分类框架图
下面这张图是我自己整理的SDK漏洞分类框架，方便记忆和排查：
3.6 分类有什么用？
说实话，搞渗透测试最怕的就是「瞎猫碰死耗子」。有了分类框架，你就能按图索骥。比如接到一个SDK评估任务，我会先按这个分类过一遍：
- 先看数据流入口——注入和文件操作漏洞高发区
- 再看权限控制——越权漏洞基本都在这里
- 然后走业务逻辑——流程、状态、数值，挨个测
- 最后查安全配置——加密、日志、调试接口
特别提醒：分类只是工具，别把它当成枷锁。实际项目中我见过不少「四不像」的漏洞，既像注入又像逻辑漏洞。这时候别纠结分类对不对，先把漏洞找到、说清楚、修好，比什么都重要。
好了，关于SDK漏洞分类就聊到这儿。记住这个框架，后面几章咱们会逐个深入，看看每个漏洞类型在实际SDK中是怎么被利用的。