|
| 来源：网站维护 |
作者：www.weihula.com |
人气： |
2025-11-13 |
|
|
|
|
|
|
|
|
内容提示：由于在开发过程中的设计不当导致程序中忽略了检查，没有有效的过滤用户的输入，攻击者可以向服务器提交不正常的访问数据（即恶意的的SQL命令代码） |
|
|
|
|
|
|
|
|
|
Web应用常见的安全漏洞包括：
SQL注入：由于在开发过程中的设计不当导致程序中忽略了检查，没有有效的过滤用户的输入，攻击者可以向服务器提交不正常的访问数据（即恶意的的SQL命令代码），程序在接收后错误的将攻击者的输入作为代码语句的一部分执行，导致原始的查询逻辑被改变，额外的执行了攻击者静心构造的恶意代码，从而绕过验证机制和权限检查，达到取得隐藏数据或覆盖关键的参值，甚至执行数据库主机操作系统命令的目的。
跨站脚本攻击（XSS）：跨站脚本漏洞（Cross-sitescripting，xss），是一种常见的web安全漏洞，由于web应用未对用户提交的数据做充分的检查过滤，允许用户在提交的数据中掺入HTML代码（最主要的是），并将未经转义的恶意代码输出到第三方用户的浏览器解释执行，从而导致XSS漏洞。攻击成功后，攻击者可以得到更高的权限、私密网页内容、会话和cookie等内容。
跨站请求伪造（CSRF）：跨站请求伪造（Cross-siterequestforgery，CSRF），是一种常见的web安全漏洞，由于在web请求中重要操作的所有参数可被猜测到，攻击者可通过一些技术手段欺骗用户的浏览器去访问一个用户曾经认证过的网站，遂使攻击者可冒用用户的身份，进行恶意操作。
越权访问：越权访问（BrokenAccessControl，BAC），是一种常见的web安全漏洞，这类漏洞是指应用在检查授权（Authorization）时存在纰漏，使得攻击者可以利用一些方式绕过权限检查，访问或者操作到原本无权访问的界面。
任意文件上传：任意文件上传（UnrestrictedFileUpload），是一种常见的web安全漏洞，由于web应用程序在实现文件上传功能是对上传的文件缺少必要的检查，使得攻击者可上传任意文件。利用该漏洞，攻击者可以直接上传webshell（webShell就是以asp\php\jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称之为一种网页后门）、病毒、恶意脚本等各种危险文件，可能导致服务器权限被直接获取，从而危及整个系统的安全运行。
任意文件读取：任意文件读取漏洞（UnrestrictedFileUpload），是一种常见的web安全漏洞，因web程序提供的文件查看下载、附件下载等功能存在安全缺陷，导致通过秀娥该文件路径就能够查看和下载任意文件，这些文件包括：源代码文件、系统文件（/etc/passwd，C:/boot.ini等）、配置文件（config.php，/WEB-INF/web.xml，web.config等），造成网站敏感信息泄露，严重危害网站安全。
隐藏字段：在许多应用中，隐藏的HTML格式字段被用来保存系统口令或商品价格。尽管其名称如此，但这些字段并不是很隐蔽的，任何在网页上执行查看源代码的人都能看见。许多Web应用允许恶意的用户修改HTML源文件中的这些字段，为他们提供了以极小成本或无需成本购买商品的机会。这些攻击行动之所以成功，是因为大多数应用没有对返回网页进行验证；相反，它们认为输入数据和输出数据是一样的。
后门和调试漏洞：在开发过程中这样做可以，但这些安全漏洞经常被留在一些放在Internet上的最终应用中。一些常见的后门使用户不用口令就可以登录或者访问允许直接进行应用配置的特殊URL。
跨站点脚本编写：一般来说，跨站点编写脚本是将代码插入由另一个源发送的网页之中的过程。恶意的用户会在公告牌上帖上包含有恶意的javascript代码的信息。当用户查看这个公告牌时，服务器就会发送HTML与这个恶意的用户代码一起显示。客户端的浏览器会执行该代码，因为它认为这是来自Web服务器的有效代码。
参数篡改：参数篡改包括操纵URL字符串，以检索用户以其他方式得不到的信息。访问Web应用的后端数据库是通过常常包含在URL中的SQL调用来进行的。恶意的用户可以操纵SQL代码，以便将来有可能检索一份包含所有用户、口令、信用卡号的清单或者储存在数据库中的任何其他数据。
更改cookie：更改cookie指的是修改存储在cookie中的数据。网站常常将一些包括用户ID、口令、帐号等的cookie存储到用户系统上。攻击者也可以窃取用户的cookie并访问用户的帐户，而不必输入ID和口令或进行其他验证。
输入信息控制：输入信息检查包括能够通过控制由CGI脚本处理的HTML格式中的输入信息来运行系统命令。缓冲区溢出是恶意的用户向服务器发送大量数据以使系统瘫痪的典型攻击手段。该系统包括存储这些数据的预置缓冲区。如果所收到的数据量大于缓冲区，则部分数据就会溢出到堆栈中。Web应用缓冲区溢出攻击的典型例子也涉及到HTML文件1。
|
| 【声明】本文章系本站编辑转载，转载目的在于传递更多信息，并不代表本网赞同其观点和对其真实性负责。如涉及作品内容、版权和其它问题，请在30日内与本站联系，我们将在第一时间删除内容！ |
|
|
 |
|
 |
|
|
|
