编程与调试

文件名参数带上两个点就能读走服务器任意文件，怎么堵死

下载接口接收文件名参数 [参数名]，代码里直接与上传目录做字符串拼接。请说明攻击者用 ../、绝对路径、URL 编码、以…

调 ffmpeg、ImageMagick 时把用户文件名塞进命令，等于开门

这段 [语言] 代码调用 [命令行工具] 处理用户上传的文件，文件名来自上传时的原始名称。请指出在 [操作系统] 下哪些…

老代码里的 XML 解析默认开着 DTD，既读文件也能打内网

我们要接收 [合作方] 发来的 XML 报文。请针对 [语言与库名] 的解析器，给出关闭 DTD 与外部实体的具体配置，…

回跳地址不做校验，钓鱼链接就能借你的域名骗取信任

登录成功后会跳回参数 [参数名] 指定的地址。请列出可被利用的写法（绝对 URL、双斜杠开头、带 @ 的 URL、编码绕…

缓存、消息、Cookie 里都可能有反序列化，逐个确认数据来源

请在我们 [语言] 项目里清点所有反序列化入口（缓存读取、消息队列消费、Cookie 与 Session、RPC 参数）…

堆栈、SQL、版本号、内网地址全在出错页面里，需要分层收起

生产环境的出错页面会把堆栈和 [框架] 版本一起返回给前端。请给出分层处理方案：对外只返回错误码与 [追踪 ID]、完整…

多传一个角色字段就能改自己的权限，这是最常见的提权

更新用户资料的接口把请求 JSON 直接反序列化成 [实体类] 再保存。请列出攻击者能多传哪些字段（角色、状态、余额、创…

列表接口把内部字段一起返回，前端不用不代表别人看不到

这个 [接口名] 直接返回了数据库实体的全部字段。请列出其中不该对外暴露的部分（内部主键、成本价、审核备注、内部状态码、…

前端算好的总价、折扣、运费被原样采信，改个包就能白拿

下单接口目前直接采信前端算好的 [金额字段]、折扣码与运费。请重写校验逻辑：价格从 [商品或服务] 表实时取、折扣在服务…

一个能塞十万条目的 JSON 就能把服务打挂，先定上限

这个接口接收结构不固定的 JSON（[字段名] 是数组，元素里还可以再嵌套）。请给出限额方案：单请求体积、数组最大长度、…

用户填的昵称以等号开头，运营打开表格就会执行公式

导出功能会把用户填写的 [字段，如昵称、备注] 原样写进 CSV。请说明以等号、加号、减号、@ 开头的值在 Excel…

把散落在代码里的字段规则收敛成机器可校验的一份契约

这个 [接口名] 现在靠手写 if 判断校验请求体。请改成 JSON Schema 表达：必填项、类型、枚举、字符串长度…

前端传了不存在的状态值，别默默当成默认值存下去

接口里 [字段名] 只允许 [取值列表] 这几种。请说明当前代码用 if-else 兜底到默认值会产生什么脏数据，再给出…

用户上传的文件名带换行，就能往响应头里塞别的内容

下载接口把原始文件名写进响应头的 filename 字段。请说明文件名里出现 [字符示例] 时会发生什么（响应头注入、缓…

只验了签名、没验算法和过期，等于把门虚掩着

服务端用 JWT 做 [场景] 的鉴权。请给出一份校验清单并标出当前代码缺哪几项：算法固定为 [算法] 且不接受 non…

登录前后沿用同一个会话标识，攻击者可提前埋好再借用

登录流程在验证通过后没有重新生成会话标识。请说明攻击者如何先在 [场景，如钓鱼页、子域] 拿到一个已存在的会话 ID 并…

令牌可预测、永不过期、还能重复用，重置功能就成了后门

密码重置邮件里的链接现在带 [参数形式]。请重新设计：令牌用密码学随机数、服务端只存哈希、有效期 [时长]、一次性使用、…

六位数字不限次数地试，一夜就能把别人的号登进去

登录用六位短信验证码，现在只在前端做了 60 秒倒计时。请给出服务端防护设计：同一手机号与同一 IP 在 [时间窗] 内…

不校验 state 就可能被塞入攻击者的授权码，账号被绑走

我们接入 [平台] 登录，回调里用 code 换令牌。请逐项检查：state 是否随机生成并与当前会话绑定、回调地址是否…

第三方回调不带签名校验，谁都能伪造一条支付成功通知

我们接收 [第三方] 的异步回调（支付结果、[事件类型]）。请给出校验设计：签名算法与密钥、参与签名的字段与排序规则、时…

加了二次验证却留一个只靠邮箱的找回入口，等于没加

我们给 [后台或支付] 开了二次验证（[方式]）。请盘一遍所有能绕过它的路径：备用邮箱找回、客服人工解绑、换设备登录、[…

内部服务拿着万能令牌到处调，一处被攻破就全线失守

现在 [服务 A] 调 [服务 B] 时用的是同一个长期有效的内部令牌，权限覆盖全部接口。请设计按调用方收敛的方案：每个…

新加的一个查询忘了带隔离字段，甲客户看到了乙客户的数据

多租户系统靠 [隔离字段] 在每条查询里过滤。请设计一套能"从机制上防漏"的做法：公共查询构造器强制注入该条件、代码审查…

三十个角色互相重叠，没人说得清谁能做什么

现在后台有 [数量] 个角色，权限靠角色名硬编码判断。请把权限重构成"权限点加角色组合"：先从 [现有代码或菜单] 抽出…

手动改余额、导数据、删账号，事后要能查出是谁做的

运营后台有几个高危操作可以直接执行：[操作列表]。请设计执行前后的控制：二次验证、[审批方式]、操作原因必填、影响范围预…

人走了账号还在，这是审计里最常见也最容易补的一条

请给我们设计一套账号回收流程，覆盖 [员工、外包、实习生] 三类人员。要写清：触发时点（提交离职当天还是最后工作日）、需…

一个导出按钮带走全表字段，比任何越权漏洞都好用

报表页支持按筛选条件导出 [数据范围]。请重新设计导出：按角色限定可导出字段（手机号、证件号、地址默认脱敏）、单次行数上…

打开就能看、永久有效、还能被搜索引擎抓到，三种坑一起踩

我们支持把 [文档或报表] 生成分享链接给外部看。请设计：链接只读且绑定具体资源、有效期 [时长]、可随时撤销、默认不暴…

系统里到底有几把密钥、谁能取、多久没换，先盘清楚

项目里涉及 [密钥类型列表] 等多类凭据。请设计一份密钥台账的字段：用途、所属系统、存放位置、负责人、创建时间、轮换周期…

换密钥要重启全部服务，于是没人愿意换，最后一直没换

我们准备轮换 [密钥用途] 的密钥，涉及 [调用方数量] 个服务。请给出双密钥过渡方案：新旧并存、按标识选择、逐步切流、…

手机号加密存库后模糊搜索失效，先说清取舍再动手

我们计划把 [字段名] 加密存库。请先说明加密后哪些查询会失效（等值、前缀、模糊、排序、唯一约束），再给出可选方案：确定…

还在用老算法加盐、迭代次数按默认值，用户密码等于半公开

我们的用户密码用 [当前算法与参数] 存储。请评估是否达标，给出应换成 [目标算法] 时的参数建议（内存、迭代、并行度）…

打包进 App 和 JS 的密钥等于公开，只能换成服务端代理

打包后的 [前端或 App] 里写死了第三方服务的 [密钥类型] 用于直连。请说明它怎么被拿到（源码、抓包、反编译 [平…

配置中心人人可读，密钥混在普通配置里就等于全员可见

所有服务的配置都堆在 [配置中心或集群配置]，里面混着数据库口令和 [第三方] 的密钥。请给出分层方案：哪些配置可以明文…

扫描器报了两百条，先判断哪些代码路径真的会被触发

依赖扫描给出 [数量] 条漏洞，全部升级并不现实。请按可达性分诊：漏洞函数是否被我们调用、输入是否可控、是否只在 [特定…

出问题的包不是自己装的，是三层依赖带进来的，怎么改

扫描报告说 [包名] 有漏洞，但我们没有直接依赖它。请说明怎么找出完整引入链（哪个顶层包、经过几层、[包管理器] 的解析…

名字差一个字母的仿冒包、长期没人维护的包，都是攻击入口

同事要引入 [包名] 来实现 [功能]。请给出引入前的审查清单：包名与官方是否一致（[混淆写法] 这类近似名要警惕）、维…

基础镜像带进来几百个系统包漏洞，先分清哪些真能被打到

镜像扫描报告有 [数量] 条高危，多数来自基础镜像的系统包。请按这几点分诊：容器里是否有对应服务在监听、包是否真的被加载…

甲方要软件物料清单，交付格式、生成时机、更新频率都要定

客户要求我们交付 [产品名] 的软件物料清单。请说明该用 [标准格式] 、在构建流水线的哪一步生成、包含哪些字段（组件名…

漏洞在上游没修、业务又停不了，只能靠缓解措施顶住

[组件名] 的漏洞目前上游没有修复版本，而我们必须继续用。请给出缓解清单并排序：关闭受影响的功能开关、在 [网关或防护设…

错误监控默认抓走请求头和请求体，密码与令牌全在里面

我们接了 [错误上报工具]。请设计脱敏配置：请求头里删除 [头列表]、请求体按字段名匹配（password、token、…

搜索词、手机号、重置令牌全被原样记进了访问日志

网关的访问日志记录了完整 URL。请指出现实中会漏进日志的敏感项（搜索关键词、[手机号] 这类查询参数、重置链接里的令牌…

手机号打码后没法按用户查日志，用加盐哈希保留关联能力

日志脱敏后，排查问题时需要按用户把多天的行为串起来，但手机号不能明文存。请给出方案：用 [哈希算法] 加固定盐生成稳定标…

谁能搜全部日志、能查多久，没定过就等于谁都能看

日志平台目前所有研发都能搜索全量日志。请设计权限模型：按 [服务或业务线] 划分可见范围、敏感字段的查看需要额外申请、查…

留太久是合规风险，留太短出事后查不到，按用途分开定

应用日志、访问日志、审计日志现在统一保留 [时长]。请按用途重新定保留期：排障用的短、安全审计用的长且不可改、业务分析的…

哪个系统收了哪些字段、为什么收、存多久，先有一张总表

我们准备做 [合规动作，如隐私评估、等保测评]，需要先盘清个人信息。请给出清单的字段设计：字段名、所属系统与表、来源（用…

政策里没写的 SDK 在后台采设备信息，这是最常见的处罚点

请把我们的隐私政策文本与 App 实际行为做逐项比对：政策声明的采集项与 [抓包结果或 SDK 清单] 里实际出现的字段…

通讯录、定位、相册一个个申请过来，用户和审核都会问为什么

这个 App 申请了 [权限列表]。请为每个权限写清：具体功能场景、不授权时的降级方案、是否可以改成用时再申请、有没有更…

直接导一份生产库去联调，等于把用户信息复制到无人看守的地方

团队想导一份生产数据到 [测试环境] 联调。请给出合规做法：先做字段最小化（只保留联调必需的表与列）、按规则替换姓名、手…

哪些字段算敏感、谁能查、要不要审批，先有分级才谈管控

要给 [业务系统] 做数据分级。请给出分级标准（公开、内部、敏感、高敏）与判断依据，把 [字段清单] 逐项归类，再为每一…

一份报告几十条，先分清哪些真能利用、哪些只是配置建议

我们拿到一份 [页数] 页的渗透测试报告。请把发现分成四类：可直接利用的高危、需要前置条件的、配置加固建议、误报或环境特…

改价、重复领券、绕过次数限制，这类问题扫描器永远扫不出来

报告里有一条业务逻辑问题：[漏洞描述，如修改请求里的价格参数]。请帮我还原完整利用路径：需要什么账号、按什么顺序发请求、…

复测只截一张成功页面不够，要留下能复现修复前后的证据

这条漏洞修完后，需要给 [甲方或安全团队] 提交复测材料。请列出证据清单：修复前后的请求与响应对比、关键的 [校验逻辑]…

对方按评分打高危，我们觉得打不到，用证据谈而不是争

安全团队把这条问题定为 [等级]，我们评估影响有限。请把分歧写成技术论证：实际暴露面（是否公网可达）、前置条件（需要什么…

不写技术细节，说清会不会被打、要花多少、不修会怎样

需要向 [管理层] 汇报这条安全问题。请用非技术语言写一页说明：问题是什么（一句比喻）、影响谁、被利用的可能与前置条件、…

测评前才发现日志没存够、制度没签发，材料清单要提前拉

我们即将做 [等保或 ISO 27001] 测评，涉及 [系统范围]。请按测评项给出材料清单：制度文件与签发记录、权限与…

等写完代码再问安全就晚了，需求阶段先过一遍威胁清单

我们要做 [功能名]，涉及 [数据与角色]。请在动手前做一次轻量威胁建模：画出数据流向（谁提供、经过哪些系统、存在哪）、…