信息安全工程师失分模块：Web安全漏洞（选择+案例双重高频）

常见丢分原因

SQL 注入、XSS、文件上传漏洞防护措施记不全；

案例给代码场景无法快速定位漏洞，答题只写 1-2 条防护，采分点不全。

满分答题模板（通用所有 Web 漏洞题）

漏洞问题：页面未对用户输入做过滤、转义、白名单校验，存在 XX 漏洞；

攻击危害：攻击者可窃取数据库数据、上传木马、控制服务器、窃取用户 Cookie；

分层防护措施：

① 前端：输入长度限制、特殊字符过滤；

② 后端：参数化查询、白名单校验、文件后缀 / MIME 双重校验；

③ 架构层：部署 WAF 防火墙拦截攻击流量；

④ 运维：定期漏洞扫描、代码安全审计。