一、常见破绽
1。高风险缺陷
XSS跨站脚本漏洞:由于程序员在编写程序时，没有进行实质性的合规性判断和HTML编码处理，直接将数据输出到浏览器客户端，用户可以提交一些经过特殊组织的脚本代码或HTML标记代码，在输出到浏览器时执行。
SQL注入漏洞:通过在Web表单中插入SQL命令来提交或输入域名或页面请求的查询字符串，最终到达欺骗服务器执行恶意SQL命令。
具体来说，就是利用现有应用程序将(恶意)SQL命令注入后台数据库引擎执行的能力。它可以通过在web表单中输入(恶意的)SQL语句，而不是按照设计者的意图执行SQL语句，从而在存在安全漏洞的网站上获取数据库。
网站内有备份文件:在网站使用过程中，经常需要对网站内的文件进行修改和升级。这时候就需要备份整个网站或者其中一个页面。当由于各种原因将修改过程中的备份文件或缓存文件遗留在网站的web目录中，且该目录没有访问权限时，可能会导致下载编辑的备份文件或缓存文件，从而导致敏感信息泄露，为服务器的安全埋下隐患。
2。中等风险缺陷
目录遍历漏洞:网站存在设置漏洞和目录可浏览漏洞，会导致网站的很多* *文件和目录被泄露，比如数据库备份文件和设置文件等。攻击者可以通过使用这些信息更容易地获得网站权限，从而导致网站被黑客攻击。
文件上传漏洞:文件上传没有限制，可能会上传可执行文件，或者脚本文件可能会进一步导致服务器宕机。
敏感信息泄露:系统泄露内部信息，如网站绝对路径、网页源代码、SQL语句、中心组件版本、程序异常等信息。
默认密码，弱密码:因为默认密码，弱密码很容易被猜到。
3。低风险缺陷
异常错误处理:发生错误时，向用户提交错误提醒是正常的。但如果提交的错误提醒包含的内容过多，则会帮助攻击者更好地理解网站的架构，为攻击者入侵网站提供协助。
后台地址泄露:网站使用一些开源软件作为后台，后台登录地址未被修改。攻击者经常使用该地址登录网站后台，如弱密码、表单绕过、暴力等。，从而获得网站的权威性。
flashtag设置漏洞:网页在引入Flash时会传递object/embed标签。在设置时，如果某些属性设置不当，会带来安全问题:
allowScriptAccess：是否允许flash接见浏览器剧本。若是纰谬不信任的flash限制，默认会允许挪用浏览器剧本，发生XSS破绽。always（默认值），总是允许；sameDomain，同域允许；never，不允许
allowNetworking：是否允许flash接见ActionScript中的网络API。若是纰谬不信任的flash限制，会带来flash弹窗、CSRF等问题。all，允许所有功效，会带来flash弹窗危害；internal，可以向外发送请求/加载网页；none，无法举行任何网络相关动作（营业正常功效可能无法使用）
网站中存在敏感目录:网站中存在敏感目录，如/upload /database /bak。这些信息将帮助攻击者更好地理解网站的架构，为攻击者入侵网站提供帮助。
二、破绽解决方案
1。SQL注入缺陷
1.过滤掉一些常见的数据库操作关键词:select、insert、update、delete、and，*等。
2.所有查询语句都使用数据库提供的参数化查询接口，即在组织动态SQL语句时，必须使用类型安全的参数超重机制。
3.对于进入数据库的特殊字符( # 8217；“ lt gt amp*;等等。)，或者代码转换。
学市场营销有什么好处？了解营销的利与弊。
4。确认每个数据的类型和长度。比如数字数据必须是数字的，数据库中的存储字段必须对应int。
5.控制错误信息:关闭错误提醒信息，将错误信息写入系统日志，防止攻击者利用这些错误信息做出一些判断。
6.锁定数据库的安全性，只授予满足数据库web应用程序功效所需的最低权限。
2。XSS跨站脚本漏洞
1.假设所有的输入都是可疑的，那么就需要对所有输入中的script、iframe等词进行严格的检查。
2.只需接受邮件，而不是提交表单。
3.不要只在客户端做数据验证和过滤，关键的过滤步骤是在服务器端进行的。
4.变单步流程为多步流程，在多步流程中引入验证码。
在每个步骤中，验证码作为隐藏的表单元素嵌入到中央页面中。在接下来的操作中，这个验证码被提交给服务器，服务器检查这个验证码是否匹配。这增加了攻击者的贫困，攻击者只有在获得多步过程中最后一步发生的验证码的情况下，才几乎不可能提出下一个请求。
5.只在允许匿名见面的地方使用动态javascript。
6.引入用户交互，一个简单的读图就可以屏蔽几乎所有意想不到的特权操作。
3。目录遍历缺陷:
1.关闭Web容器(如IIS/Apache等)的目录浏览效果。)，就像在IIS中关闭目录浏览效果一样:在IIS的网站属性中，勾选“目录浏览”选项；
2.在防范遍历路径缺陷的方法中，最有用的是权限的控制，通知给文件系统API的参数路径被认真处理。
3.数据净化:网站用户提交的硬编码或统一编码的文件名，白名单文件后缀，拒绝的恶意符号或空字节。
4。后台地址泄漏:
1.设置后台登录地址的采访权限，就像只允许某个IP或IP段的用户见面一样；
2.隐藏后台登录地址，更改不易被猜到的路径。
3.部署网站系统后台和网站首页，在内网部署后台系统。
