第一部分 20 道题完整记录题目答案分析一、文件上传漏洞第 1–5 题第 1 题题目在 Web 应用中文件上传漏洞通常是由于什么导致的A. 服务器未对上传的文件进行类型检查B. 用户密码设置过于复杂C. 数据库连接信息泄露D. 应用程序使用了最新的安全框架正确答案A错误选项B、C、D分析文件上传漏洞核心成因是服务器未对上传文件做类型、内容、后缀等校验攻击者可上传恶意脚本。其余选项与上传漏洞无关。第 2 题题目以下哪种文件类型在处理不当的情况下最有可能导致文件上传漏洞被利用A. .txt B. .jpg C. .php D. .pdf正确答案C错误选项A、B、D分析.php 为服务器可执行脚本上传后可被解析运行直接构成 Webshell 威胁。第 3 题题目为了防范文件上传漏洞以下哪种做法是不推荐的A. 对上传的文件进行类型检查只允许特定类型的文件上传B. 对上传的文件进行大小限制C. 将上传的文件存储在服务器的根目录下并允许通过 URL 直接访问D. 对上传的文件进行病毒扫描正确答案C错误选项A、B、D分析上传文件存放在 Web 根目录并可直接访问是上传漏洞能被成功利用的关键条件。第 4 题题目以下哪种技术可以用于检测文件上传漏洞中的恶意文件A. SQL 注入检测B. 文件签名验证C. XSS 攻击检测D. CSRF 令牌验证正确答案B错误选项A、C、D分析文件签名验证文件头校验、真实 MIME 检测可识别伪装成图片的恶意脚本。第 5 题题目在文件上传功能中以下哪种做法可以增强安全性A. 允许用户上传任意类型的文件B. 对上传的文件名进行随机化处理C. 不对上传的文件进行任何验证或过滤D. 将上传的文件存储在公开可访问的目录中正确答案B错误选项A、C、D分析随机文件名可防止路径预测、文件覆盖、直接访问利用降低攻击成功率。二、弱口令漏洞第 6–10 题第 6 题题目弱口令漏洞主要是由于什么导致的A. 用户使用了过于简单的密码B. 系统未对密码进行加密存储C. 数据库连接信息泄露D. 应用程序存在 SQL 注入漏洞正确答案A错误选项B、C、D分析弱口令本质是密码复杂度低、熵值不足易被猜测、爆破。第 7 题题目以下哪种密码策略有助于防范弱口令漏洞A. 要求密码长度至少为 8 个字符B. 允许用户使用生日或电话号码作为密码C. 不对用户密码进行任何限制D. 允许用户在不同系统使用相同的密码正确答案A错误选项B、C、D分析密码长度是基础安全指标长度越长暴力破解难度越高。第 8 题题目在系统中实施密码复杂度要求的主要目的是什么A. 提高系统的处理速度B. 防范弱口令漏洞C. 简化用户密码管理D. 增强系统的美观性正确答案B错误选项A、C、D分析复杂度要求提升密码随机性防止字典、彩虹表破解。第 9 题题目以下哪种做法有助于用户创建强密码A. 提供默认的密码选项B. 要求用户定期更换密码但不对新密码的复杂度进行要求C. 提醒用户避免使用常见密码、个人信息作为密码D. 允许用户将密码保存在明文形式的便签上正确答案C错误选项A、B、D分析避免个人信息、常见序列可从源头杜绝弱口令。第 10 题题目在检测到弱口令漏洞后以下哪种措施是首先应该采取的A. 立即关闭系统B. 通知受影响的用户并要求他们更改密码C. 对系统进行全面的安全审计D. 增加系统的防火墙规则正确答案B错误选项A、C、D分析弱口令最直接风险是被登录优先改密可快速阻断攻击路径。三、XSS 漏洞第 11–15 题第 11 题题目XSS 漏洞主要是由于什么导致的A. 应用程序未对用户输入进行充分的验证和过滤B. 服务器未对上传的文件进行类型检查C. 数据库连接信息泄露D. 应用程序使用了最新的安全框架正确答案A错误选项B、C、D分析XSS 源于用户输入未过滤恶意脚本被拼接到页面执行。第 12 题题目以下哪种类型的 XSS 攻击最难以防御A. 存储型 XSSB. 反射型 XSSC. 基于 DOM 的 XSSD. 持久型 XSS正确答案C错误选项A、B、D分析DOM XSS 仅在前端浏览器执行不经过服务器后端过滤与 WAF 易失效。第 13 题题目为了防范 XSS 漏洞以下哪种做法是不推荐的A. 对用户输入进行严格的验证和过滤B. 使用 HTML 实体编码来转义用户输入中的特殊字符C. 允许用户输入 JavaScript 代码但只在服务器端执行D. 定期更新和修补 Web 应用程序及所使用的库和框架正确答案C错误选项A、B、D分析任何情况下都不应允许用户可控的 JS 代码被执行。第 14 题题目以下哪种技术可以用于检测和防御 XSS 攻击A. 输入验证B. SQL 注入检测C. 文件签名验证D. 防火墙规则正确答案A错误选项B、C、D分析输入白名单校验是从源头拦截 XSS 注入的核心手段。第 15 题题目在 Web 应用程序中以下哪种做法有助于减少 XSS 漏洞的风险A. 使用 GET 请求代替 POST 请求B. 在用户输入中插入 JavaScript 代码以增强交互性C. 对所有用户输入进行输出编码D. 允许用户上传任意类型的文件到服务器正确答案C错误选项A、B、D分析输出编码将特殊字符转为实体浏览器不会解析为脚本。四、XXE 漏洞第 16–20 题第 16 题题目XXE 漏洞主要是由于什么导致的A. 应用程序未对用户输入的 XML 数据进行充分的验证和过滤B. 服务器未对上传的文件进行类型检查C. 数据库连接信息未加密存储D. 应用程序使用了不兼容的 XML 解析器正确答案A错误选项B、C、D分析XXE 因 XML 解析器未禁用外部实体且用户可控 XML 内容导致。第 17 题题目以下哪种类型的 XML 解析器配置最容易导致 XXE 漏洞A. 禁用外部实体解析的解析器B. 启用外部实体解析且未进行安全配置的解析器C. 使用默认配置的解析器假设默认配置是安全的D. 专门设计用于处理受限 XML 数据的解析器正确答案B错误选项A、C、D分析开启外部实体且无安全限制是 XXE 漏洞产生的核心条件。第 18 题题目为了防范 XXE 漏洞以下哪种做法是不推荐的A. 禁用 XML 外部实体解析B. 对用户输入的 XML 数据进行严格的验证和过滤C. 使用白名单来限制允许的外部实体类型D. 允许用户输入任意的 XML 数据但只在服务器端解析正确答案D错误选项A、B、C分析任意 XML 输入可被构造恶意实体直接触发 XXE 攻击。第 19 题题目以下哪种技术可以用于检测和防御 XXE 攻击A. 输入验证B. SQL 注入检测C. 文件签名验证D. XML 安全配置和解析器设置正确答案D错误选项A、B、C分析XXE 防御核心在于解析器安全配置而非通用输入过滤。第 20 题题目在 Web 应用程序中以下哪种做法有助于减少 XXE 漏洞的风险A. 使用 GET 请求代替 POST 请求B. 在用户输入中插入 XML 声明以增强交互性C. 对所有用户输入的 XML 数据进行输出编码D. 配置 XML 解析器以禁用外部实体解析正确答案D错误选项A、B、C分析禁用外部实体解析可从根源杜绝 XXE 利用。第二部分 深度技术拓展拓宽广度与深度ps:这段内容比较多所以只提供思路具体操作可单独查询一、文件上传漏洞深度拓展1. 漏洞利用四要素存在可控上传点校验不严可上传恶意文件文件存放在 Web 可访问目录服务器可解析对应脚本后缀2. 实战常见绕过方式后缀绕过php5、phtml、pHp、.php.、asp;jpgMIME 绕过修改 Content-Type 为 image/jpeg文件头绕过添加 GIF89a、FF D8 FF 伪装图片解析漏洞Nginx /test.jpg/.php、Apache 多后缀解析.htaccess 绕过自定义解析规则将图片当作 PHP 执行条件竞争上传瞬间访问文件绕过检测3. 企业级防御方案后缀使用白名单严禁黑名单文件头内容二次校验图片二次渲染上传目录移出 Web 根目录设置不可执行权限文件名随机重命名MD5/时间戳WAF杀毒引擎行为检测二、弱口令漏洞深度拓展1. 弱口令常见类型简单序列123456、admin123、root123个人信息生日、手机号、姓名拼音默认口令admin/admin、root/123456、admin/password撞库复用其他平台泄露密码批量尝试2. 攻击方式暴力破解、字典攻击彩虹表破解哈希撞库攻击社工猜测3. 完整防御体系密码长度≥12 位包含大小写数字符号登录失败锁定5 次错误锁定 15 分钟图形/行为验证码异地登录检测与提醒MFA 双因素认证密码 bcrypt/Argon2 加盐存储三、XSS 漏洞深度拓展1. 三类 XSS 对比存储型存入数据库全员触发危害最高反射型URL 参数触发需诱导点击DOM 型前端 JS 处理不进后端最难防御2. XSS 攻击能力窃取 Cookie 实现会话劫持伪造登录页面钓鱼篡改页面内容内网 IP 探测结合 CSRF 执行未授权操作3. 防御体系输入白名单校验输出 HTML/JS/URL 编码Cookie 设置 HttpOnly、Secure、SameSite开启 CSP内容安全策略避免使用 innerHTML、document.write、eval四、XXE 漏洞深度拓展1. 攻击利用场景读取系统文件/etc/passwd、C:\Windows\System32\drivers\etc\hostsSSRF 内网探测、端口扫描XML 炸弹 DoS 攻击无回显 OOB 外带数据攻击2. 高危触发点XML 格式接口、SOAP 服务SVG 图片上传Office 文档解析docx/xlsxWebDAV、配置导入功能3. 最有效防御禁用外部实体解析禁用 DTD优先使用 JSON 替代 XML使用安全升级后的 XML 解析库第三部分 高频面试题 连环深度追问HVV 必考ps:一个合格的面试官一定是会追问的一、文件上传漏洞面试题1. 什么是文件上传漏洞危害有多大答应用对上传文件校验不足导致攻击者上传恶意脚本并执行可直接 Getshell、控制服务器、窃取数据、内网漫游。追问 1上传漏洞利用的四个必要条件是什么答可控上传点、校验不严、可访问目录、可被服务器解析。追问 2白名单后缀就一定安全吗答不一定。可能存在解析漏洞、.htaccess、条件竞争、二次渲染绕过等问题。追问 3图片马如何才能执行答需配合文件包含、服务器解析漏洞、.htaccess、条件竞争等。追问 4如何对抗针对上传漏洞的 WAF答变形脚本、分块上传、垃圾数据填充、特殊后缀绕过、解析漏洞绕过。二、弱口令面试题1. 弱口令为什么在 HVV 中优先级最高答成本最低、成功率高、隐蔽性强大量设备/后台存在默认口令是最快打点方式。追问 1什么是撞库如何防御答利用泄露密码批量登录。防御强密码、MFA、禁止复用、异地检测。追问 2只加验证码能防暴力破解吗答不能。需配合账号锁定、IP 策略、异常检测、MFA。追问 3数据库密码加盐 Hash 就安全吗答弱口令依然可被字典破解必须强密码慢哈希算法MFA。追问 4HVV 中常见弱口令突破口有哪些答Tomcat、Jenkins、路由器、摄像头、OA、后台管理员、数据库。三、XSS 面试题1. XSS 分为哪几类区别是什么答存储型、反射型、DOM 型。DOM 型不经过后端最难防御。追问 1DOM XSS 为什么 WAF 很难防御答Payload 只在浏览器 DOM 中处理不进入服务器WAF 无法检测。追问 2XSS 如何窃取 Cookie如何防御答通过 document.cookie 发送到攻击者服务器。防御HttpOnly、绑定 UA/IP。追问 3CSP 是什么能完全防御 XSS 吗答内容安全策略限制资源加载。不能 100% 防御只能大幅降低风险。追问 4Vue/React 为什么能减少 XSS什么情况仍会出现 XSS答框架默认转义。误用 v-html、dangerouslySetInnerHTML、innerHTML 仍会产生 XSS。四、XXE 面试题1. XXE 是什么原理是什么答XML 外部实体注入解析器未禁用外部实体导致读取文件、SSRF 等攻击。追问 1XXE 可以直接 RCE 吗答一般不能但可通过伪协议、文件包含、密钥泄露间接 RCE。追问 2无回显 XXE 如何利用答使用 OOB 外带攻击通过 HTTP/FTP 将数据带出到攻击者服务器。追问 3哪些业务场景容易出现 XXE答SVG 上传、Word 文档导入、SOAP 接口、XML 配置上传。追问 4防御 XXE 最根本的方法是什么答禁用外部实体、禁用 DTD、尽量使用 JSON 替代 XML。五、综合面试题压轴必问1. 这四类漏洞的共同本质是什么答用户可控输入未被严格校验、过滤或编码被系统信任并执行导致恶意操作。追问防御所有 Web 漏洞的核心思想是什么答所有外部输入不可信、最小权限、纵深防御、白名单机制、安全编码。2. HVV 实战中你如何快速打点优先弱口令/默认口令寻找文件上传点 Getshell留言/评论区测试存储型 XSSXML/SVG 接口测试 XXE突破后内网信息收集与横向追问目标 WAF 严格时如何继续突破答转向弱口令、未授权访问、逻辑漏洞、SSRF、解析漏洞、子域名旁站。3. 无明显高危漏洞时你从哪些点入手答弱口令、越权访问、未授权访问、信息泄露、中间件漏洞、XSS、XXE、逻辑漏洞。第四部分 精简背诵版适合速记文件上传核心可控上传 校验不严 可执行目录 可解析绕过后缀、MIME、文件头、解析漏洞、条件竞争防御白名单、随机文件名、存储隔离、不可执行权限弱口令核心密码简单、默认口令、撞库防御锁定、复杂度、验证码、MFA、异地检测地位HVV 最快速、最稳定打点方式XSS三类存储、反射、DOM危害偷 Cookie、钓鱼、劫持、内网探测防御输入校验、输出编码、HttpOnly、CSPXXE原理XML 外部实体未禁用危害读文件、SSRF、内网探测、DoS防御禁用外部实体、禁用 DTD、使用 JSON使用说明全文可直接复制到 Word便于大家复习查阅练习题部分适合基础巩固深度拓展适合理解原理面试题追问适合 HVV/渗透测试面试最后背诵版适合速记突击读者同志按需分配~