标签：

1.SQL注入

　　缝隙描述

　　Web措施中对付用户提交的参数未做过滤直接拼接到SQL语句中执行，导致参数中的特殊字符粉碎了SQL语句原有逻辑，打击者可以操作该缝隙执行任意SQL语句，如盘问数据、下载数据、写入webshell、执行系统命令以及绕过登录限制等。

　　修复建议

代码层最佳防御sql缝隙方案：使用预编译sql语句盘问和绑定变量。

　　（1）使用预编译语句，使用PDO需要注意不要将变量直接拼接到PDO语句中。所有的盘问语句都使用数据库供给的参数化盘问接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统都供给了参数化SQL语句执行接口，使用此接口可以非常有效的防备SQL注入打击。

　　（2）对进入数据库的特殊字符（’”<>&*;等）进行转义措置惩罚惩罚，或编码转换。

　　（3）确认每种数据的类型，好比数字型的数据就必需是数字，数据库中的存储字段必需对应为int型。

　　（4）数据长度应该严格规定，能在必然水平上防备对照长的SQL注入语句无法正确执行。

　　（5）网站每个数据层的编码统一，建议全部使用UTF-8编码，上下层编码不一致有可能导致一些过滤模型被绕过。

　　（6）严格限制网站用户的数据库的操纵权限，给此用户供给仅仅能够满足其事情的权限，从而最大限度的减少注入打击对数据库的风险。

　　（7）制止网站显示SQL错误信息，好比类型错误、字段不匹配等，防备打击者操作这些错误信息进行一些判断。

　　（8）过滤危险字符，例如：给与正则表达式匹配union、sleep、and、select、load_file等关键字，如果匹配到则终止运行。

2.XSS

　　缝隙描述

　　1、Web措施代码中对用户提交的参数未做过滤或过滤不严，导致参数中的特殊字符粉碎了HTML页面的原有逻辑，打击者可以操作该缝隙执行恶意HTML/JS代码、结构蠕虫、篡改页面实施垂钓打击、以及诱导用户再次登录，然后获取其登录凭证等。

　　2、XSS打击对Web处事器自己虽无直接风险，但是它借助网站进行流传，对网站用户进行打击，窃取网站用户账号身份信息等，从而也会对网站孕育产生较严重的威胁。

XSS打击可导致以下风险：

　　1、垂钓欺骗：最范例的就是操作方针网站的反射型跨站脚本缝隙将方针网站重定向到垂钓网站，或者通过注入垂钓JavaScript脚本以监控方针网站的表单输入，甚至打击者基于DHTML技术倡议更高级的垂钓打击。

　　2、网站挂马：跨站时，打击者操作Iframe标签嵌入隐藏的恶意网站，将被打击者定向到恶意网站上、或弹出恶意网站窗口等方法，进行挂马。

　　3、身份盗用：Cookie是用户对付特定网站的身份验证标识表记标帜，XSS打击可以偷取用户的cookie，从而操作该cookie偷取用户对该网站的操纵权限。

　　4、偷取网站用户信息：当窃取到用户cookie从而获取到用户身份时，打击者可以偷取到用户对网站的操纵权限，从而检察用户隐私信息。

　　5、垃圾信息发送：在社交网站社区中，操作XSS缝隙借用被打击者的身份发送大量的垃圾信息给特定的方针群。

　　6、劫持用户Web行为：一些高级的XSS打击甚至可以劫持用户的Web行为，从而监视用户的浏览历史、发送与接收的数据等等。

　　7、XSS蠕虫：借助XSS蠕虫病毒还可以用来打告白、刷流量、挂马、开玩笑、粉碎数据、实施DDoS打击等。

　　修复建议

xss缝隙素质上是一种html注入，也就是将html代码注入到网页中。那么其防御的根柢就是在将用户提交的代码显示到页面上时做好一系列的过滤与转义

　　（1）过滤输入的数据，对例如：“ ‘ ”，“ “ ”，” < “，” > “，” on* “，script、iframe等危险字符进行严格的查抄。这里的输入不只仅是用户可以直接交互的输入接口，也包孕HTTP请求中的Cookie中的变量，HTTP请求头部中的变量等。

　　（2）不只验证数据的类型，还要验证其格局、长度、范畴和内容。

　　（3）不只在客户端做数据的验证与过滤，关键的过滤法式在处事端进行。

　　（4）对输出到页面的数据进行相应的编码转换，如HTML实体编码、JS编码等。对输出的数据也要查抄，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操纵，在遍地的输出点时也要进行查抄。

3.XXE

　　缝隙详情

　　参考：https://www.freebuf.com/company-information/165769.html

4.CSRF

　　缝隙描述：