跨站脚本攻击
漏洞描述
跨站脚本攻击（Cross-site scripting，简称XSS攻击）通常发生在客户端，可被⽤于窃取用户隐私、钓⻥欺骗、偷取密码、传播恶意代码等。XSS攻击运用的脚本类型主要为HTML、JavaScript，也包括VBScript、ActionScript等。
攻击者通常将恶意代码作为一个网页存放在服务器上，如果用户打开该网页，存放在网页上的恶意代码会注入到用户的浏览器中并执行，导致用户被攻击。在这个过程中，攻击者通过窃取会话Cookie，获得用户的隐私信息，甚至包括密码等敏感信息。
漏洞危害
- 钓鱼欺骗：利用目标网站的反射型跨站脚本漏洞将目标网站重定向到钓鱼网站，或者通过注入钓鱼JavaScript脚本监控目标网站的表单输入，甚至基于DHTML技术发起更高级的钓鱼攻击。
- 网站挂马攻击：攻击者利用Iframe标签在脚本中嵌入隐藏的恶意网站，用户访问网站时，将被定向到恶意网站，或遭受恶意网站弹窗等。
- 身份盗用：XSS攻击通过盗取用户的 Cookie ，从而利用该Cookie盗取用户对该网站的操作权限。如果攻击者通过XSS攻击盗取网站管理员用户的Cookie，网站将会遭受巨大危害。
- 盗取网站用户隐私信息：如果攻击者盗取用户身份并获得用户操作权限，用户的隐私信息也将被暴露。
- 垃圾信息发送：通过XSS攻击，攻击者可以在社交网站中，借用被攻击者的身份将大量的垃圾信息批量发送给特定的目标群体。
- 劫持用户Web行为：通过高级的XSS攻击，攻击者可以劫持用户的Web行为，从而监视用户的浏览历史、发送与接收数据等。
- XSS蠕虫：通过XSS蠕虫病毒，攻击者可以进行广告、刷流量、挂马、恶作剧、破坏网上数据、实施DDoS攻击等恶意行为。
CRLF攻击
漏洞描述
HTTP响应拆分漏洞，也叫CRLF注入攻击。CR、LF分别对应回车、换行字符。
HTTP头信息由很多被CRLF组合分离的行构成，每行的结构都是“键：值”。如果用户输入的值部分注入了CRLF字符，它有可能改变的HTTP报头结构。
漏洞危害
攻击者通过注入自定义HTTP头信息（例如，攻击者可以注入会话cookie或HTML代码），进行XSS攻击或会话固定漏洞攻击等。
SQL注入攻击
漏洞描述
SQL注入攻击（SQL Injection，简称注入攻击）是一种发生在应用程序的数据库层上的安全漏洞，被广泛用于非法获取网站控制权。
如果应用程序中没有针对输入字符串中夹带的SQL指令的检查，攻击者提交的恶意SQL指令会被数据库误认为是正常的SQL指令而被执行， 从而导致数据库被攻击，数据被窃取、更改或删除，甚至造成网站被嵌入恶意代码、被植入后门程序等危害。
漏洞危害
- 机密数据被窃取。
- 核心业务数据被篡改。
- 网页被篡改。
- 数据库所在的服务器被攻击变成傀儡主机，甚至企业网被入侵。
写入WebShell攻击
漏洞描述
写入WebShell攻击，是指攻击者正在往网站服务器写入网页木马程序，企图控制服务器的攻击。
漏洞危害
攻击者在用户网站上写入一个Web木马后门，进而操作用户网站上的文件、执行命令等等。
本地文件包含
漏洞描述
本地文件包含是指程序代码在处理包含文件的时候没有严格控制，攻击者可以把上传的静态文件、或网站日志文件作为代码执行。
漏洞危害
攻击者利用该漏洞，在服务器上执行命令，进而获取到服务器权限，造成网站被恶意删除、用户和交易数据被篡改等一系列恶性后果。
远程文件包含
漏洞描述
远程文件包含是指程序代码在处理包含文件的时候没有严格控制，导致攻击者可以构造参数包含远程代码在服务器上执行。
漏洞危害
攻击者利用该漏洞，在服务器上执行命令，进而获取到服务器权限，造成网站被恶意删除、用户和交易数据被篡改等一系列恶性后果。
远程代码执行
漏洞描述
远程代码执行，也叫代码注入，是指由于服务端代码漏洞导致恶意用户输入的代码在服务端被执行的一种高危安全漏洞。
漏洞危害
攻击者利用该漏洞，可以在服务器上执行拼装的代码。
FastCGI攻击
漏洞描述
FastCGI攻击是Nginx中存在一个较为严重的安全漏洞。FastCGI模块默认情况下可能导致服务器错误地将任何类型的文件以PHP的方式进行解析。
漏洞危害
恶意的攻击者可能攻陷支持PHP的Nginx服务器。