本文系统梳理了SQL注入攻击，涵盖注入条件、类型判断和实战案例。主要内容包括：1.注入两大条件（输入可控+带入执行）；2.注入类型分类（数字/字符/搜索型，Union/报错/盲注等）；3.基础注入流程（判断注入→字段数→回显位→信息泄露）；4.进阶技术（报错注入、盲注、堆叠注入、宽字节绕过等）；5.特殊场景（HTTP头注入、二次注入、参数污染、Orderby注入）。通过sqli-labs靶场演示了

XSS（跨站脚本攻击）是一种常见Web安全漏洞，主要分为反射型、存储型和DOM型三种。攻击者通过构造恶意JS代码，利用未严格过滤的用户输入参数实施攻击，危害包括窃取Cookie、钓鱼攻击和会话劫持等。防范措施包括输入校验、HTML实体编码和设置HttpOnly属性。DOM型XSS通过前端JS直接操作DOM树实现攻击，无需后端参与，常见高危接口包括innerHTML、setAttribute等。XS