常见的漏洞类型有哪些，是Web安全、主机安全、代码审计工作的基础识别内容，主流分类覆盖注入类、跨站类、权限类、文件类、反序列化、逻辑缺陷、组件漏洞、信息泄露八大类别，参考OWASPTop10这份公开安全项目清单，可作为入门划分依据，适合运维人员、开发人员、安全测试人员做初筛判断；该分类属于通用归类，嵌入式固件、工控系统会额外增加协议解析类漏洞，不能直接套用Web场景的判断标准，你在排查时需要先确认资产所属业务环境，再对照对应漏洞特征做验证，避免把业务正常参数误判成漏洞。

常见的漏洞类型有哪些：注入与跨站类漏洞

注入类漏洞核心是用户可控输入未做过滤，直接拼接进解释器执行语句，典型包含SQL注入、命令注入、LDAP注入、XPath注入，其中SQL注入会让攻击者读取、篡改数据库数据，命令注入可直接在服务器操作系统执行系统命令，你验证这类漏洞时，优先观察参数是否带入后端执行引擎，测试payload后确认是否产生回显、报错或者时间延迟特征。跨站类漏洞以XSS为主，分成存储型、反射型、DOM型，本质是脚本代码被浏览器解析执行，存储型会持久化写入页面，影响范围相对更大，反射型依附单次请求参数，DOM型发生在前端JS解析阶段，不经过服务端。

跨站请求伪造CSRF不属于脚本注入，它利用用户已登录的会话凭证，诱导浏览器自动发起非预期请求，和XSS的区别是CSRF无法读取响应内容，只能触发请求动作，你做区分时可以看漏洞是否需要执行恶意脚本，不需要脚本执行的请求劫持类缺陷归为CSRF。

常见的漏洞类型有哪些：权限与文件类漏洞

权限类漏洞包含越权访问、身份认证缺陷、会话管理缺陷，越权又分为水平越权和垂直越权，水平越权是同等级用户访问他人数据，垂直越权是低权限账号执行高权限操作，身份认证缺陷涵盖弱口令、缺少二次校验、密码重置逻辑失效，会话缺陷包含会话固定、会话过期机制失效。文件类漏洞包含文件上传漏洞、路径遍历（目录穿越）、文件包含漏洞，文件上传漏洞是上传可执行脚本并触发解析执行，路径遍历通过../这类序列跳出指定目录读取任意文件，文件包含是引入外部文件执行代码，这类漏洞高发在带文件读写、上传功能的业务模块。

漏洞大类核心触发条件典型风险
注入类用户输入拼接进解释器语句数据库读写、系统命令执行
跨站类输入未转义被浏览器解析脚本会话窃取、页面篡改
权限类服务端缺少权限校验跨账号访问、提权操作
文件类文件路径或上传校验缺失任意文件读取、脚本执行

常见的漏洞类型有哪些：其余高频漏洞类别

反序列化漏洞出现在Java、PHP等支持序列化对象的应用，应用对不可信数据执行反序列化操作，触发gadget链实现代码执行，该漏洞对业务代码依赖较强，不同框架利用条件差异较大，不是所有反序列化入口都能成功利用。逻辑缺陷漏洞没有固定payload，是业务流程设计本身存在缺陷，例如支付金额篡改、优惠券重复核销、验证码可复用，这类漏洞自动化扫描工具识别能力有限，需要人工按照业务流程走查。

组件漏洞指第三方开源组件自带的已知缺陷，比如Apache、Nginx、Spring框架历史CVE漏洞，通过CVE编号可以查询对应影响版本，你可以使用资产组件版本清单对照CVE库，判断当前版本是否落入受影响范围。信息泄露漏洞会暴露源码、配置文件、数据库账号、调试日志，通常由调试接口未关闭、错误页面返回详细堆栈、备份文件可公开访问造成。

还有缓冲区溢出、SSRF、XXE这类高频漏洞，SSRF是服务端主动发起外部请求，可探测内网服务，XXE是XML解析器加载外部实体，读取本地文件或者发起内网请求，缓冲区溢出多见于C/C++编写程序，输入长度超出缓冲区边界覆盖内存，Web业务中出现频率低于前面几类。

漏洞分类不是互相独立。

你做漏洞研判时，不能只依靠单一特征定性，同一个接口可能同时存在XSS与CSRF，组件漏洞也可能叠加业务逻辑缺陷，验证阶段要保留请求报文、响应包、版本信息作为佐证，修复优先从输入校验、权限校验、组件升级、关闭不必要服务几个方向落地，工控、工业协议场景还会新增协议帧解析漏洞，Web分类清单无法覆盖这类专项漏洞。