web常见的漏洞的分类以及危害

最新推荐文章于 2024-04-01 15:04:59 发布
最新推荐文章于 2024-04-01 15:04:59 发布
阅读量1.6k 收藏 2
点赞数
分类专栏： 网络安全 前端 文章标签： 安全 web安全 web漏洞 漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/JACK_SUJAVA/article/details/127903031
版权
本文详细介绍了Web漏洞的种类，如SQL注入、XSS跨站脚本、CSRF、上传漏洞等，以及它们的危害，如数据泄露、网站篡改、权限盗用。同时，针对SQL注入漏洞提出了解决方案，包括数据校验、参数化查询和限制用户权限等，以降低安全风险。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

Web漏洞分类

WEB漏洞通常是指网站程序上的漏洞，可能是由于代码编写者在编写代码时考虑不周全等原因而造成的漏洞

ØSQL注入

XSS跨站脚本攻

CSRF跨站请求伪造攻击

网络传输漏洞

上传漏洞

其他漏洞

暴力破解漏洞

命令执行漏洞

SQL注入漏洞：

网站程序忽略了对输入字符串中包含的SQL语句的检查，使得包含的SQL语句被数据库误认为是合法的SQL指令而运行，导致数据库中各种敏感数据被盗取、更改或删除。XSS跨站脚本漏洞：网站程序忽略了对输入字符串中特殊字符与字符串（如<>'"<script><iframe>onload）的检查，使得攻击者可以欺骗用户访问包含恶意JavaScript代码的页面，使得恶意代码在用户浏览器中执行，从而导致目标用户权限被盗取或数据被篡改。页面存在源代码泄露：页面存在源代码泄露,可能导致网站服务的关键逻辑、配置的账号密码泄露，攻击者利用该信息可以更容易得到网站权限，导致网站被黑。

SQL注入漏洞的危害不仅体现在数据库层面，还有可能危及承载数据库的操作系统；如果SQL注入被用来挂马，还可能用来传播恶意软件等，

这些危害包括但不限于：

最低0.47元/天 解锁文章
常见的Web应用的漏洞总结（原理、危害、防御）
anlalu233的博客
02-21 2837
一、 SQL注入 1.原理： SQL注入就是把SQL命令插入到Web表单然后提交到所在页面请求（查询字符串），从而达到欺骗服务器执行恶意的SQL命令。 它是利用现在已有的应用程序，将SQL语句插入到数据库中执行，执行一些并非按照设计者意图的SQL语句。 2.原因： 根据相关技术原理，SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致；后者主要是由于程序员对输入...
【XSS漏洞-01】XSS漏洞简介、危害与分类及验证
zz12345600354的博客
04-23 1307
定义/原理：跨站脚本（Cross-Site Scripting），本应该缩写为CSS，但是该缩写已被层叠样式脚本Cascading Style Sheets所用，所以改简称为XSS。也称跨站脚本或跨站脚本攻击。跨站脚本攻击XSS通过将恶意得Script代码注入到Web页面中，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。本质：是一种针对网站应用程序的安全漏洞攻击技术，是代码注入的一种。特点：XSS主要基于JavaScript。
Web安全常见漏洞原理、危害及其修复建议
Karka_的博客
11-03 245
（当文件上传时，如果服务端的脚本语言没有对上传的文件进行检查和过滤，那假如，渗透者直接上传恶意代码文件，那么就有可能直接控制整个网站，或者说以此为跳板，直接拿下服务器，这就是文件上传漏洞。②csrf攻击之所以能成功，是因为攻击者伪造用户的请求，所以抵御csrf的关键在于：在请求中放入攻击者不能伪造的请求，例如，可以在HTTP请求中加入一个随机产生的token，并在服务器端验证token，如果请求中没有token或者token内容不正确，则认为请求可能是csrf攻击，从而拒绝该请求。
确定安全威胁与漏洞-C
weixin_33800463的博客
11-12 156
1、软件攻击是指对软件资源的攻击，包括操作系统、应用程序、协议和文件，软件攻击的目标是中断或禁用运行在目标系统上的软件，或者利用目标系统中的漏洞获取相应的访问权限。 2、密码攻击是指攻击者尝试非法获取并利用密码的攻击类型！ 3、常见的密码攻击类型有：猜测、偷盗、字典攻击、暴力破解攻击、彩虹表、混合密码攻击、生日攻击等！ 4、后门攻击是一种软件攻击类型，是...
2020年网络安全漏洞态势报告-Web应用漏洞
H3C的博客
05-11 2312
Web应用漏洞 2020年的“全面推进互联网+，打造数字经济新优势”背景下，数字化经济发展促进了基于互联网的数字化系统和创新应用程序的快速增长。同时由于网络攻击技术和目标类型的更新，数字化转型后业务安全面的挑战也日益严峻，其中Web应用程序漏洞仍然是网络攻击的主要入口。2020年新华三共收录Web应用漏洞6067个，较2019年同期（3837个）增长58.1%，对比2019年和2020年每月Web应用漏洞变化趋势如下图： 图5 2020与2019年Web应用新增漏洞趋势 2.1、漏洞分类 ..
web渗透常见漏洞总结
gugonggugong的博客
01-14 3714
一、SQL注入 1. 原理 SQL：结构化查询语言 所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。 SQL注射能使攻击者绕过认证机制，完全控制远程服务器上的数据库。 当应用程序使用输入内容来构造动态sql语句以访问数据库时，会发生sql注入攻击；如果代码使用存储过程，而这些存储过程作为包含未筛选的用户输入的字符串来传递，也会发生sql注入。 2. 不同数据库的注入 MySQL access...
WEB漏洞分类与定义指南
Macro2的博客
05-19 1972
WEB漏洞分类与定义指南 web vulnerability classification and definition guideline 前 言 本标准按照 本标准按照 GB/T1.1GB/T1.1GB/T1.1GB/T1.1 GB/T1.1 -2009 给出的规则起草 给出的规则起草 给出的规则起草 。 随着电信网和互联的发展，将不断补充完善安全防护体系相关标准。 随着电信网和互联的发展，将不断补充完善安全防护体系相关标准。 随着电信网和互联的发展，将不断补充完善安全防护体系相关标准。 随着电信网和.
4.常见web安全漏洞与加固
asdf390的博客
05-07 1220
SQL 注入漏洞的影响可以归纳为以下4 个方面。 目前，大多数网站都以数据库为驱动，这进一步增加了SQL 注入漏洞产生的可能性，因此对于涉及SQL 的相关操作，需要格外注意。 2.SQL 注入分类 SQL 注入可以按照不同的分类方式分为多种类型，如通过参数类型、注入位置等，下文将详细介绍不同的分类方式及一些重要的注入类型。 按照输入参数的类型不同，可以将SQL 注入分为数字型注入和字符型注入。 这两种注入的最大区别在于，字符型注入一般要使用单引号进行闭合，而数字型注入不需要...
渗透安全测试常见漏洞分类
weixin_44945788的博客
04-01 1006
LocalStorage 存储凭据。Web Service 接口泄露。XML外部实体注入(XXE)Tomcat默认管理后台暴露。HTTP头部SQL注入漏洞。SourceMap文件泄露。启用了不安全的HTTP方法。SSRF服务器端请求伪造。HTTP头跨站脚本攻击。存在测试文件或样例文件。cookie中存放密码。Git 源码信息泄露。SVN 源码信息泄露。banner信息泄露。CSRF跨站请求伪造。失效的验证码验证机制。
Web安全-常见漏洞危害及定义
u013894849的博客
03-19 4651
一，Web 服务端安全1.SQL 注入攻击名词解释：SQL 注入攻击（SQL Injection ），简称注入攻击，SQL 注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。由于在设计程序时，忽略了对输入字符串中夹带的SQL 指令的检查，被数据库误认为是正常的SQL 指令而运行，从而使数据库受到攻击，可能导致数据被窃取，更改，删除，甚至执行系统命令等，以及进一步导致网站被...
WEB常见漏洞问题危害及修复建议
米克源码的博客
01-27 855
信息泄露会暴露服务器的敏感信息，使攻击者能够通过泄露的信息进行进一步入侵；网站存在包含SVN信息的文件：网站存在包含SVN信息的文件，这是网站源码的版本控制器私有文件，里面包含SVN服务的地址、提交的私有文件名、SVN用户名等信息，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。网站存在PHPINFO文件：网站存在PHPINFO文件，这个是PHP特有的信息文件，会导致网站的大量架构信息泄露，该信息有助于攻击者更全面了解网站的架构，为攻击者入侵网站提供帮助。
常见WEB漏洞问题危害及修复建议
thatqier
10-11 6149
漏洞检测工具用语说明 一，高危漏洞 高危漏洞包括SQL注入漏洞、XSS跨站脚本漏洞、页面存在源代码泄露、网站存在备份文件、网站存在包含SVN信息的文件、网站存在Resin任意文件读取漏洞。 SQL注入漏洞：网站程序忽略了对输入字符串中包含的SQL语句的检查，使得包含的SQL语句被数据库误认为是合法的SQL指令而运行，导致数据库中各种敏感数据被盗取、更改或删除。 XSS跨站脚
常见的Web源码泄漏漏洞
huangyongkang666的博客
03-23 4407
常见的Web源码泄漏漏洞 1.Git 源码泄露 ​ 开发人员会使用 git 进行版本控制，对站点自动部署。但如果配置不当，可能会将 .git 文件夹直接部署到线上环境，这就引起了 git 泄露漏洞，我们可以利用这个漏洞直接获得网页源码 简要介绍git的目录结构 在一个目录中初始化一个仓库以后 , 会在这个目录下产生一个名叫 .git 的隐藏文件夹（版本库）这个文件夹里面保存了这个仓库的所有版本等一系列信息 一般来说 , 一个git仓库还存在这两个文件 : README.md (项目介绍) .gitign
常见的Web源码泄漏漏洞及其利用
热门推荐
02-28 2万+
Web源码泄露的漏洞：git源码泄露svn源码泄露hg源码泄漏网站备份压缩文件WEB-INF/web.xml泄露DS_Store 文件泄露SWP 文件泄露CVS泄露Bzr泄露GitHu...
史上最全网络安全面试题总结
03-17 2万+
新的一年，难免有不少小伙伴面临跳槽或者找工作，本文总结了常见的安全岗位面试题，方便各位复习。祝各位事业顺利，财运亨通。 php爆绝对路径方法？ 单引号引起数据库报错 访问错误参数或错误路径 探针类文件如phpinfo 扫描开发未删除的测试文件 google hacking phpmyadmin报路径：/phpmyadmin/libraries/lect_lang.lib.php 利用漏洞读取配置文件找路径 恶意使用网站功能，如本地图片读取功能读取不存在图片，上传点上传不能正常导入的文件 你常用的渗
前端源码泄露
lyink001的博客
12-16 4291
攻击者可以通过泄露的前端源代码可以针对源代码对代码中各种信息如隐蔽接口、API、加密算法、管理员邮箱、内部功能等等，或者接口API可以尝试未授权漏洞，拼接接口越权漏洞，查找源代码中关键字去GitHub查找程序源码进行代码审计。
服务器私有信息泄露隐患,Web应用系统中的常见漏洞及攻击的方式
weixin_42116681的博客
08-13 666
【IT168 资讯】在Web技术飞速演变、电子商务蓬勃发展的今天，企业开发的很多新应用程序都是Web应用程序，而且Web服务也被越来越频繁地用于集成Web应用程序或与其进行交互，这些趋势带来的问题就是：Web应用程序和服务的增长已超越了程序开发人员所接受的安全培训和安全意识的范围。web应用系统的安全风险达到了前所未有的高度。本文详细剖析了Web应用中的常见漏洞及攻击方式，全面分析web应用系统的...
第9章 安全漏洞、威胁和对策
HeLLo_a119的博客
11-23 1007
安全漏洞、威胁和对策
常见的web漏洞有哪些
最新发布
04-01
<think>嗯，用户让我介绍一下常见的Web漏洞，我需要先理清楚有哪些主要的类型。首先，OWASP Top 10应该是比较权威的来源，里面列出了最常见的漏洞。我记得有注入攻击，比如SQL注入，还有跨站脚本攻击XSS。然后可能还有跨站请求伪造CSRF，不安全的反序列化，安全配置错误之类的。 接下来，得确保每个漏洞都解释清楚，包括原理、危害和例子。比如SQL注入，就是通过用户输入恶意SQL代码，破坏数据库查询。XSS分反射型、存储型和DOM型，可能用户需要知道它们的区别。CSRF则是诱使用户在已认证的情况下执行非预期的操作。 还有像敏感数据泄露，可能涉及传输或存储时的加密不足。XML外部实体注入（XXE）处理不当的XML解析器问题。文件上传漏洞，如果不对上传的文件做严格检查，可能导致恶意文件上传。还有组件中的已知漏洞，比如使用旧版本的库。 需要组织这些信息，结构要清晰，分点说明。每个漏洞的名称、简要描述、危害，可能的话加上例子。同时要注意用户提到的格式要求，数学表达式用$...$，但这里可能用不上太多数学符号，除非提到加密算法，比如哈希函数的碰撞$H(m) = H(m')$，但不确定是否需要。不过还是按用户要求，如果有涉及变量或技术术语需要公式的话，用正确的格式。 另外，用户希望回答真实可靠，可能需要引用OWASP作为依据，确保信息准确。还要用中文，避免使用专业术语时不够通俗。检查是否有遗漏的常见漏洞，比如服务器端请求伪造SSRF，权限管理不当，比如越权访问，还有API的安全问题，随着现代应用更多使用API，这方面可能也需要提及。 最后要总结一下防范措施，比如输入验证、输出编码、使用安全框架等。但用户主要问的是有哪些漏洞，所以重点在列举和解释，防范措施可以简要带过。需要确保每个点都简明扼要，让用户容易理解，同时结构清晰，分点分项，方便阅读。</think>常见的Web漏洞种类繁多，以下根据OWASP Top 10（2021版）分类，按危害程度和出现频率进行结构化说明： 1. **注入漏洞** - **原理**：未过滤用户输入，攻击者注入恶意代码（如SQL、OS命令） - **案例**：`SELECT * FROM users WHERE id = '$userInput'` 若`userInput`为`1' OR '1'='1`会导致SQL注入 2. **跨站脚本攻击（XSS）** - **类型**： - 反射型：恶意脚本通过URL参数注入 - 存储型：脚本持久化存储在服务器 - DOM型：完全在客户端执行 - **危害**：窃取Cookie（如`document.cookie`）、会话劫持 3. **敏感数据泄露** - **常见场景**： - 未使用HTTPS（如HTTP传输密码） - 弱加密算法（如MD5：$H(m) = \text{MD5}(m)$） - 硬编码密钥（如API密钥暴露在客户端代码） 4. **XML外部实体注入（XXE）** - **原理**：解析恶意XML时加载外部实体 - **攻击载荷**： ```xml <!DOCTYPE test [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> <data>&xxe;</data> ``` 5. **失效的访问控制** - **典型表现**： - 水平越权：访问他人数据（如`/user?id=123`改为`124`） - 垂直越权：普通用户执行管理员操作 6. **安全配置错误** - **常见问题**： - 默认账户未禁用（如admin/admin） - 暴露调试接口（如Spring Boot Actuator未授权访问） - 服务器头信息泄露（如`Server: Apache/2.4.6`） 7. **跨站请求伪造（CSRF）** - **攻击模式**：诱导用户点击恶意链接触发请求 - **防御公式**： $$ \text{CSRF Token} = \text{Random}(128bit) $$ 8. **不安全反序列化** - **风险**：通过篡改序列化数据执行任意代码 - **语言相关**：Java（`readObject()`）、Python（`pickle`模块） 9. **使用已知漏洞组件** - **典型案例**： - Log4j2漏洞（CVE-2021-44228） - Struts2远程代码执行（如S2-045） 10. **服务端请求伪造（SSRF）** - **利用场景**： ```http GET /api?url=http://internal-server:8080 HTTP/1.1 ``` 通过控制URL参数访问内网资源 **防御建议**： 1. 对所有输入进行白名单验证 2. 使用预编译语句防御SQL注入（如`PreparedStatement`） 3. 实施最小权限原则（Principle of Least Privilege） 4. 定期更新组件并扫描依赖（如OWASP Dependency-Check） 5. 启用CSP（内容安全策略）防御XSS 实际开发中需结合威胁建模（Threat Modeling）和渗透测试进行综合防护，建议参考MITRE CWE和NVD漏洞数据库获取最新安全情报。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值