攻擊目標：應用HTTP協(xié)議的服務器和客戶端，以及運行在服務器上的Web應用等資源。
目前互聯(lián)網的攻擊大多將Web應用作為攻擊目標。

不安全的HTTP

現(xiàn)今幾乎所有Web網站都會使用會話（session）管理、加密處理等安全性方面的功能，而HTTP協(xié)議內并不具備這些功能。因此，需要開發(fā)者自行設計并開發(fā)認證及會話管理功能來滿足Web應用的安全需求。這意味著沒有一個統(tǒng)一的實現(xiàn)，安全等級并不完備，Web應用背后仍存在各種易被攻擊者利用安全漏洞的Bug。

攻擊模式

主動攻擊：攻擊者通過直接訪問Web應用，把攻擊代碼傳入，直接對服務器上的資源進行攻擊。具有代表性的攻擊是SQL注入攻擊和OS命令注入攻擊。
被動攻擊：利用圈套執(zhí)行攻擊代碼的模式，主要攻擊用戶的資源和權限。代表性的有跨站腳本攻擊和跨站點請求偽造。
利用被動攻擊，可發(fā)起對原本從互聯(lián)網上無法直接訪問的企業(yè)內網等網絡的攻擊。只要用戶踏入攻擊者預先設好的陷阱，在用戶能夠訪問到的網絡范圍內，即使是企業(yè)內網也同樣會受到攻擊。

安全漏洞

因輸出值轉義不完全引發(fā)的安全漏洞

• 跨腳本攻擊（Cross-Site Scripting， XSS）
  通過存在安全漏洞的Web網站注冊用戶的瀏覽器內運行非法的HTML標簽或JS腳本進行的一種攻擊。
  XSS屬于被動攻擊，
  通過URL查詢字段或表單、HTTP首部、Cookie等途徑把攻擊代碼傳入。

• SQL注入攻擊
  SQL是用來操作關系型數(shù)據庫管理系統(tǒng)（RDBMS）的數(shù)據庫語言，可進行操作數(shù)據或定義數(shù)據等。這些數(shù)據庫系統(tǒng)都可以把SQL作為數(shù)據庫語言使用。
  使用數(shù)據庫的Web應用，通過某種方法將SQL語句傳給RDBMS，再把RDBMS返回的結果靈活地使用在Web應用中。
  如果在調用SQL語句的方式上存在疏漏，就有可能執(zhí)行被惡意注入非法SQL語句，SQL注入攻擊有可能會造成：非法查看或篡改數(shù)據庫內的數(shù)據；規(guī)避認證；執(zhí)行和數(shù)據庫服務器業(yè)務關聯(lián)的程序等。

• OS命令注入攻擊
  指通過Web應用，執(zhí)行非法的操作系統(tǒng)命令達到攻擊的目的，只要在能調用Shell函數(shù)的地方就有存在被攻擊的風險。
  OS命令注入攻擊可以向Shell發(fā)送命令，讓Windows或Linux操作系統(tǒng)的命令行啟動程序。也就是說，通過OS注入攻擊可執(zhí)行OS上安裝著的各種程序。

• HTTP首部注入攻擊
  HTTP首部注入攻擊是指攻擊者通過在響應首部字段內插入換行符%0D%0A%，添加任意響應首部或主題的一種攻擊。屬于被動攻擊。
  將一個換行符%0D%0A%插入，可添加首部字段，如Set-Cookie。
  將兩個換行符%0D%0A%%0D%0A%插入，可偽造成主體，瀏覽器會顯示偽造偽造的Web頁面，這種攻擊叫做HTTP響應截斷攻擊。

• 郵件首部注入攻擊

• 目錄遍歷攻擊
  是指對原本無意公開的文件目錄，通過非法截斷其目錄路徑后，達成訪問目的的一種攻擊。

• 遠程文件包含漏洞

因設置或設計上的缺陷引發(fā)的安全漏洞

• 強制瀏覽
  指從安置在Web服務器的公開目錄下的文件中，瀏覽那些原本非自愿公開的文件。

• 不正確的錯誤信息處理

• 開放重定向
  指對指定的任意URL作重定向跳轉的功能。假如指定的重定向URL到某個具有惡意的Web網站，那么用戶就會被誘導至那個Web網站。

因會話管理疏忽引發(fā)的安全漏洞

會話管理是用來管理用戶狀態(tài)的必備功能，但如果在會話管理上有所疏漏，就會導致用戶的認證狀態(tài)被竊取等后果。

• 會話劫持
  攻擊者通過某種手段拿到了用戶的會話ID，并非法使用此會話ID偽裝成用戶，達到攻擊的目的。
• 會話固定攻擊
  指會話固定攻會強制用戶使用攻擊者指定的會話ID，屬于被動攻擊。
• 跨站點請求偽造
  指攻擊者通過設置好的陷阱，強制對已完成認證的用戶進行非預期的個人信息或設定信息等某些狀態(tài)更新，屬于被動攻擊。

其他安全漏洞

• 密碼破解
  即算出密碼，突破認證。該攻擊不僅限于Web應用，還包括其他系統(tǒng)（如FTP或SSH等）。
  密碼破解手段：網絡的密碼試錯(窮舉法或字典攻擊）；對已加密密碼的破解（指攻擊者入侵系統(tǒng)，已獲得加密或散列處理的密碼數(shù)據的情況）。
• 點擊劫持
  指利用透明的按鈕或鏈接做成陷阱，覆蓋在Web頁面之上，然后誘導用戶在不知情的情況下， 點擊那個鏈接訪問內容的一種攻擊手段。這種行為又被稱為界面?zhèn)窝b。
• DoS攻擊
  一種讓運行中的服務呈停止狀態(tài)的攻擊。該攻擊的對象不僅限于Web網站，還包括網絡設備及服務器等。
  DoS主要有兩種攻擊方式：發(fā)送大量合法請求造成資源過載，資源用盡的同時，實際上服務也呈停止狀態(tài)；通過攻擊安全漏洞使服務停止。
• 后門程序
  指開發(fā)設置的隱蔽入口，可不按正常步驟使用受限功能。利用后門程序就能夠使用原本受限制的功能。