因设置或设计上的缺陷引发的安全漏洞

强制浏览

• 从安置在Web服务器的公开目录下的文件中，浏览那些原本非自愿公开的文件。
• 影响：
  ● 泄露顾客的个人信息等重要情报
  ● 泄露原本需要具有访问权限的用户才可查阅的信息内容
  ● 泄露未外连到外界的文件

不正确的错误消息处理

• Web应用的错误信息内包含对攻击者有用的信息
• 错误信息类型：
  Web应用抛出的错误消息：可以检测出用户名，邮箱是否注册等
  数据库等系统抛出的错误消息：可以看到数据库的类型和SQL语句
• 系统抛出的错误集中在：
  ● PHP或ASP等脚本错误
  ● 数据库或中间件的错误
  ● Web服务器的错误

开放重定向

• 假如指定的重定向URL到某个具有恶意的Web网站，那么用户就会被诱导至那个Web网站
  
• 可信度高的Web网站如果开放重定向功能，则很有可能被攻击者选中并用来作为钓鱼攻击的跳板。