XPath 注入漏洞的利用与防御

三集视频拆解 Burp Suite Macros：从基础用法到从响应中提取 CSRF token 等动态值，再到多请求复杂场景的自动化处理，配套自建练习靶场与 Token Extractor 等扩展演示。

演示可重复重放的 CAPTCHA 如何形同虚设——用 Burp Intruder 重放请求第 86 次即爆出密码。文章给出一次性使用、与会话绑定、服务端校验等实现要点，避免反自动化控制被绕过。

服务器可能接受开发者未预料的数据格式：仅需将 JSON 请求的 Content-Type 改为 application/xml，有时即可触达服务端配置不当的 XML 解析器并触发 XXE，实现文件读取、UNC 访问或 SSRF。

NetSPI 讲解 CSRF 原理与利用面（图片标签、钓鱼链接、XSS 注入等向量均可发起请求），并给出用 Burp Proxy 对带 CSRF 防护的应用做参数模糊测试的实操步骤，指出 token 防护难以做到百分百，测试时需同步维护会话与 token 值。

SaaS 提供商面临 API 与多租户架构威胁上升；贯穿 SDLC、对齐 OWASP 与 PTES 的定期渗透测试可降低泄露风险，并支撑 SOC 2、ISO 27001、GDPR 与 HIPAA 合规。

API 直接暴露后端逻辑与敏感数据；针对性 API 安全测试可发现传统渗透测试容易遗漏的认证缺陷、数据过度暴露与访问控制问题。