1.sql注入；

2.跨站指令碼；

3.弱口令漏洞；

4.http報頭追蹤漏洞；

5.struts遠端命令執行漏洞；

6.檔案上傳漏洞；

7.私有ip地址洩露漏洞；

8.未加密登陸請求；

9.敏感資訊洩露；

10.CSRF；

一、SQL注入漏洞 SQL注入攻擊（SQL Injection），簡稱注入攻擊、SQL注入，被廣泛用於非法獲取網站控制權，是發生在應用程式的資料庫層上的安全漏洞。在設計程式，忽略了對輸入字串中夾帶的SQL指令的檢查，被資料庫誤認為是正常的SQL指令而執行，從而使資料庫受到攻擊，可能導致資料被竊取、更改、刪除，以及進一步導致網站被嵌入惡意程式碼、被植入後門程式等危害。 通常情況下，SQL注入的位置包括： （1）表單提交，主要是POST請求，也包括GET請求； （2）URL引數提交，主要為GET請求引數； （3）Cookie引數提交； （4）HTTP請求頭部的一些可修改的值，比如Referer、User_Agent等； （5）一些邊緣的輸入點，比如.mp3檔案的一些檔案資訊等。 常見的防範方法 （1）所有的查詢語句都使用資料庫提供的引數化查詢介面，引數化的語句使用引數而不是將使用者輸入變數嵌入到SQL語句中。當前幾乎所有的資料庫系統都提供了引數化SQL語句執行介面，使用此介面可以非常有效的防止SQL注入攻擊。 （2）對進入資料庫的特殊字元（’”<>&*;等）進行轉義處理，或編碼轉換。 （3）確認每種資料的型別，比如數字型的資料就必須是數字，資料庫中的儲存欄位必須對應為int型。 （4）資料長度應該嚴格規定，能在一定程度上防止比較長的SQL注入語句無法正確執行。 （5）網站每個資料層的編碼統一，建議全部使用UTF-8編碼，上下層編碼不一致有可能導致一些過濾模型被繞過。 （6）嚴格限制網站使用者的資料庫的操作許可權，給此使用者提供僅僅能夠滿足其工作的許可權，從而最大限度的減少注入攻擊對資料庫的危害。 （7）避免網站顯示SQL錯誤資訊，比如型別錯誤、欄位不匹配等，防止攻擊者利用這些錯誤資訊進行一些判斷。 （8）在網站釋出之前建議使用一些專業的SQL注入檢測工具進行檢測，及時修補這些SQL注入漏洞。

web伺服器安全

web伺服器作業系統的漏洞安全。比如windows server的漏洞，Linux系統（Ubuntu、centos等）漏洞。對於web伺服器，時刻關注系統安全，及時打好補丁，升級相關的軟體到最新版本。

web應用中檔案的許可權安全。windows server實施使用者組許可權策略，單個檔案有讀寫許可權設定，一般不存在網頁檔案許可權需要修改的問題。Linux系統實行使用者許可權策略，對每個檔案都有許可權設定，比如預設755許可權，需要讀寫操作的檔案設定777最高許可權，但一般是將web應該配置給比如www:data等使用者。web站點如果檔案許可權設定錯誤，可能入侵後被修改網頁內容，比如在頭部或尾部被嵌入了廣告或彈窗等。

資料庫安全。比如資料庫對外訪問介面，公網地址洩漏等。一般情況下資料庫只能內網訪問，公網是訪問不到的，以加強安全性。

web的黑白名單。從伺服器端或者web後臺設定一個黑名單機制，遮蔽掉一些不想要它訪問web的ip地址或地址段。可以部分預防dds攻擊。如果沒有這樣的機制，被攻擊很容易就掛掉了。伺服器提供商有一定的高防流量，但還是很有限，而且價格比較貴。

web自身前後臺互動邏輯bug。web自身的互動邏輯bug如果很嚴重，可能會導致伺服器資源消耗過高，直至伺服器資源耗盡宕機。比如資料獲取相應機制，類似資料包獲取反饋間隔。例如一個使用者點選下載按鈕，非同步提交後臺給出下載命令，如果 不能有效遮蔽使用者多次點選或惡意點選，導致下載佇列超長，會消耗過多資源。

web的管理許可權安全。例如作者只能刪除自己的文章，普通管理員不能取消修改自己的管理許可權，超級管理員操作日誌以及是否能夠恢復等。管理許可權沒有設定好，或者有bug隱患，出了問題有時很難查找出來，後果比較嚴重。這需要不斷的去測試。

web的資源盜鏈風險。比如各種爬蟲資源探測器，可以掃描web的附件資源，如果對這些資源的訪問不加許可權判斷的話，被搜尋引擎抓取到，或被很多下載工具嗅到，比如流行歌曲MP3等，那web的寬頻流量很容易就被消耗，很可能還倒欠阿里雲cdn加速等提供商一大筆錢。

web的弱口令安全。主要是web應用使用者或管理員的密碼安全問題。現在都流行使用不可逆的密碼加密方式儲存密碼，這樣即使資料庫洩漏，使用者的密碼也是一串加密字串，很難破譯。還要防止機器人暴力破解使用者密碼，就是粗暴的不斷嘗試各種密碼進行重複登入，可以智慧判斷並新增驗證碼等。驗證碼的升級換代也很快，現在很多驗證碼都需要去滑動操作，防破解力度很高。

https加密。現在大一點的web應用都要求使用https加密協議對整個網站的互動進行加密了，這樣爬蟲機器人或各種軟體很難從抓包中獲取明文資訊了，比較容易就實現了對絕大多數的惡意分析web內容的行為了。

sql注入xss跨域攻擊等安全。這個其實也算是web自身的bug，需要在試執行時就要被找出來，現在使用框架來建立web應用，基本上都避免了這些常規性安全坑。

1、sql注入：通過給web應用介面傳入一些特殊字元，達到欺騙伺服器，執行惡意的SQL命令。利用該漏洞可以讀取資料庫資訊。

2、XSS：跨站指令碼攻擊（Cross-SiteScripting），向web頁面注入可執行的惡意程式碼，利用該漏洞可以讀取目標網站cookie傳送到黑客伺服器上。

3、CSRF：跨站請求偽造（Cross-siteRequestForgery），誘使使用者訪問一個攻擊頁面，利用目標網站對使用者的信任，以使用者身份在攻擊頁面對目標網站發起偽造使用者請求，達到攻擊的目的。

4、DDoS攻擊：攻擊者不斷地發出服務請求，讓合法使用者的請求無法及時處理，最終就是讓一個網站無法訪問。

5、XXE：XML外部實體漏洞（XMLExternalEntity），當應用程式解析XML輸入時，如果沒有禁止外部實體的載入，導致可載入惡意外部檔案和程式碼，就會造成任意檔案讀取、命令執行、內網埠掃描、攻擊內網網站等攻擊。

6、JSON劫持：用於獲取敏感資料的一種攻擊方式，屬於CSRF攻擊的範疇。

7、暴力破解：

這個一般針對密碼而言，弱密碼（WeakPassword）很容易被別人（對你很瞭解的人等）猜到或被破解工具暴力破解。

8、HTTP報頭追蹤漏洞：

HTTP/1.1（RFC2616）規範定義了HTTPTRACE方法，主要是用於客戶端通過向Web伺服器提交TRACE請求來進行測試或獲得診斷資訊。

9、資訊洩露：由於Web伺服器或應用程式沒有正確處理一些特殊請求，洩露Web伺服器的一些敏感資訊，如使用者名稱、密碼、原始碼、伺服器資訊、配置資訊等。

10、目錄遍歷漏洞：

攻擊者向Web伺服器傳送請求，通過在URL中或在有特殊意義的目錄中附加../、或者附加../的一些變形（如..或..//甚至其編碼），導致攻擊者能夠訪問未授權的目錄，以及在Web伺服器的根目錄以外執行命令。

11、命令執行漏洞：命令執行漏洞是通過URL發起請求，在Web伺服器端執行未授權的命令，獲取系統資訊、篡改系統配置、控制整個系統、使系統癱瘓等。

12、檔案上傳漏洞：通過Web訪問的目錄上傳任意檔案，包括網站後門檔案（webshell），進而遠端控制網站伺服器。

13：框架或應用漏洞

14、SSLStrip攻擊

15、OpenSSLHeartbleed安全漏洞

16、CCS注入漏洞

17、證書有效性驗證漏洞