2021年元旦初接到许多网友的留言，想要了解网站漏洞利用的高危方式都有哪些，其实最

致命的漏洞就是执行任意命令导致可以拿下最高权限，但仅限于讨论，如果在渗透测试客户站

点的时候，前提要得到正规的客户授权许可才能开展安全性测试，不得违规进行渗透测试！好

了开头说这么多，其实都是为了大家好，言归正传，下面我讲解下在实战中进行的一些常用的

网站漏洞方式。

 

 

1.代码执行漏洞。应用程序提供了一些可以作为代码执行字符串的函数，比如PHP中的evalo函

数，它可以作为PHP代码执行函数中的参数。如果这些函数的参数没有严格控制，就可能被使

用，导致任意代码执行。

 

 

2.可扩展标记语言外部实体(XXE)漏洞。XMLExternalEntity(XXE)漏洞的原因是，当应用程序解

析XML时，没有过滤外部实体的加载，导致恶意外部文件的加载，造成命令执行、文件读取、

内网扫描、内网应用攻击等危害。

 

 

3.反序列化漏洞。数据处理的功能。为了有效地存储或传输数据而不丢失其类型和结构，通常

需要序列化和反序列化。序列化:返回一个字符串，该字符串包含表示值的字节流，可以存储在

任何地方。反序列化:对单个序列化变量进行操作，并将其转换回原始值。这两个进程的结合可

以方便地存储和传输数据，使程序更易维护，但不安全的反序列化会导致远程代码执行。即使

反序列化缺陷不会导致远程代码执行，攻击者也可以使用它们来执行攻击，包括重放攻击、注

入攻击和权限提升攻击。

 

 

4.SSRF的脆弱性。服务器端请求伪造(SSRF)漏洞，攻击者利用SSRF漏洞通过服务器发起伪

造请求，从而可以访问内部网数据、检测内部网信息或利用内部网漏洞。形成SSRF漏洞的原

因是，应用程序具有从其他服务器获取数据的功能，但服务器的地址没有经过严格过滤，因此

应用程序可以访问任意的URL链接。通过精心构建网址链接，攻击者可以利用SSRF漏洞进行

以下攻击:
 

(1)可以通过服务器获取内网主机、端口、Banner信息。
 

(2)攻击内网应用，如Redis、Jboss等。
 

(3)使用文件协议读取文件。
 

(4)可以攻击内网程序，造成溢出。

 

 

5.解析漏洞。Web容器解析漏洞会将其他类型的文件解析为脚本语言文件并执行其中的代码。

Web容器解析漏洞的原因是Web容器中存在漏洞，导致无论是什么类型的文件，都会执行恶意

构建文件中的代码。Web容器解析漏洞危害极大，会导致服务器被远程控制，网页被篡改，网

站被挂机，后门被植入。一般是把解析漏洞和文件上传功能结合使用。常见的Web容器有IIS、

Nginx、Apache、Tomcat、lamp、lnmp等等。