1. 漏洞排查入门：从零开始认识漏洞
大家好，我是你们这趟漏洞排查之旅的向导。做了十几年安全，我见过太多因为基础概念不清而踩坑的案例。今天咱们就从最根本的东西聊起——到底什么是漏洞？它从哪来、到哪去？
1.1 什么是漏洞？
漏洞，说白了就是系统里的一个「缺口」。这个缺口可能是代码写错了，可能是配置没拧紧，也可能是设计本身就有缺陷。攻击者顺着这个缺口，就能干一些系统本来不允许他干的事。
我的定义：漏洞 = 资产上可被利用的弱点，且这个弱点能导致安全策略被绕过。
举个例子。你写了个登录功能，密码输错三次就锁账号。这本身没问题。但如果你忘了限制「忘记密码」接口的调用频率——嗯，攻击者可以对着那个接口暴力枚举，把所有人的密码都重置一遍。这就是漏洞。
我个人习惯把漏洞分成三个要素来看：
- 缺陷：系统本身的问题（代码、配置、设计）
- 访问：攻击者能接触到这个缺陷
- 能力：攻击者利用缺陷后能做什么
三者缺一不可。缺陷藏在代码里没人能碰到，那它只是个「潜在风险」，还不是真正的漏洞。
1.2 漏洞的生命周期
一个漏洞从出生到消亡，大致走这么几个阶段。我在项目中画过无数张这样的图，今天用 SVG 给你看个清楚的。
这里有个关键点我想强调——「发现」不等于「修复」。我曾经处理过一个案例，漏洞被白帽子发现后，厂商拖了三个月才发补丁。这三个月里，攻击者早就通过黑市拿到了漏洞细节，把用户数据拖了个遍。
避坑指南：我曾经见过一个团队，漏洞修完了但没通知下游用户。结果攻击者拿着旧版本的 EXP 照样打进了生产环境。记住：修复不只是改代码，还要确保补丁真正落地。
1.3 常见漏洞类型：OWASP Top 10
说到漏洞类型，绕不开 OWASP Top 10。这玩意儿每三四年更新一次，是目前业界公认的「漏洞威胁排行榜」。我把它整理成了一张表，方便你对照着看。
| 排名 | 漏洞类型 | 一句话解释 |
|---|---|---|
| A01 | 失效的访问控制 | 用户能越权看到/操作不该碰的东西 |
| A02 | 加密机制失效 | 敏感数据明文传输或存储 |
| A03 | 注入 | SQL、OS、LDAP 等注入攻击 |
| A04 | 不安全的设计 | 架构层面就有问题，不是代码 bug |
| A05 | 安全配置错误 | 默认密码、目录列表、未打补丁 |
| A06 | 易受攻击和过时的组件 | 用了有已知漏洞的第三方库 |
| A07 | 识别和认证失败 | 弱密码、会话固定、暴力破解 |
| A08 | 软件和数据完整性失效 | CI/CD 管道被篡改、不安全的反序列化 |
| A09 | 安全日志和监控不足 | 被攻击了都不知道 |
| A10 | 服务端请求伪造（SSRF） | 服务器被当跳板去打内网 |
你想想看，这十个类型里，哪个最容易被忽视？我个人觉得是 A06——过时组件。很多团队只关心自己写的代码有没有漏洞，却忘了项目里引了 200 多个 npm 包，其中一半已经三年没更新了。
小技巧：我习惯在每个项目里跑一遍 OWASP Dependency-Check，几分钟就能扫出所有已知漏洞的第三方组件。别等到被攻击了才想起来做这件事。
1.4 安全测试 vs 渗透测试
这两个概念经常被混用，但本质上差别很大。我直接给你画个对比图。
说白了，安全测试是「地毯式排查」，渗透测试是「定点突破」。我举个实际例子你就明白了。
假设你有个电商网站：
- 安全测试会扫描所有页面，检查有没有 SQL 注入、XSS、CSRF，看看 HTTPS 配置对不对，Cookie 有没有设 Secure 标志。它告诉你「登录接口存在 SQL 注入风险」。
- 渗透测试会盯着那个 SQL 注入点，尝试各种 payload，最终把用户表拖出来。它告诉你「我用
admin' OR 1=1 --绕过了登录，拿到了 50 万条用户记录」。
我的建议：两者不是二选一，而是互补。安全测试帮你兜住底，渗透测试帮你验证底线。我经手的项目，都是先跑自动化安全测试，再针对高风险模块做人工渗透。
1.5 本章小结
今天咱们把地基打好了。你知道了漏洞的本质是「可被利用的弱点」，了解了它从引入到修复的完整生命周期，记住了 OWASP Top 10 里最常见的十类威胁，也分清了安全测试和渗透测试的区别。
嗯，这些东西看起来简单，但我在面试里问过很多人，能把这几个概念讲清楚的真不多。你如果能把今天的内容消化透，后面的课程会越学越顺。