#Web安全

语法层、协议层、业务层 WAF 绕过思路：编码混淆、分块传输、HTTP 参数污染与真实业务场景绕过。

XXE 的成因、内外部实体注入、OOB 外带、伪协议利用与防御方案。

命令执行漏洞的成因、常见函数、管道符利用、绕过空格与关键词过滤的技巧。

CSRF 的原理、Poc 构造与防御（Token/SameSite/Referer），以及结合文件上传的特殊 CSRF 场景。

参数化查询、预编译、WAF 等防御方案，以及堆叠注入、宽字节注入等进阶利用场景。

SQL 注入的原理、分类（联合/报错/布尔/时间盲注）、常见注入点与手工利用思路。