提要：Web网站中为什么会出现大大小小的漏洞，漏洞产生的机制主要是什么呢？
漏洞产生原理：
1，变量可控的参数
不管是Sql注入，XSS，文件上传漏洞还是其他大多数的Web安全漏洞，其形成漏洞最核心的原理是可控参数被赋予恶意代码，恶意文件或命令，被后端当作正常数据执行，然后返回给前端浏览器，从而显示出网站的一些信息被利用。
2，漏洞函数
除了变量参数的可控，另外形成漏洞的条件还有后端代码中漏洞函数，例如：
1，RCE（代码注入/命令注入）：eval（），system（）函数和shell_exec（）函数等
2，XSS（跨站脚本攻击）：显示函数，echo（）函数等
3，文件上传漏洞：文件上传函数
4，Sql注入：数据库查询函数
**总结：**漏洞产生的本质就是可控变量和漏洞函数被恶意利用，同时也是Web服务器前端和后端对可控变量输入参数的限制不完全导致的。
漏洞探测：
1，白盒测试
白盒测试主要是通过代码审计来判断网站是否存在对于的漏洞
2，黑盒测试
1，漏洞扫描工具
使用漏洞扫描工具直接扫描web网站判断是否存在相关漏洞，常见漏洞扫描工具：SQLMAP，NESSUS，APPSCAN，AWVS，BURPSUITE等
2，公开漏洞
使用搜索引擎或者技术博文判断Web服务器所使用的中间件，操作系统，CMS是否存在相关漏洞，例如：
IIS6.0版本存在命令解析漏洞，一般都会有对于相关漏洞原理及利用方法
3，手动参数&功能点
手动参数：手动修改可控参数，判断是否存在相应的漏洞，但是前提是已经确定漏洞的类型（可以通过漏洞扫描工具或者Web网站的使用类型）
功能点：功能点主要表现为不同类型的网站，使用的函数，脚本类型，实现的功能不同，存在的漏洞也不同，详细可以查看文章-Web源码扩展