跨站指令碼攻擊
漏洞描述
跨站指令碼攻擊（Cross-site scripting，簡稱XSS攻擊）通常發生在用戶端，可被⽤於竊取使用者隱私、釣⻥欺騙、偷取密碼、傳播惡意代碼等。XSS攻擊運用的指令碼類型主要為HTML、JavaScript，也包括VBScript、ActionScript等。
攻擊者通常將惡意代碼作為一個網頁存放在伺服器上，如果使用者開啟該網頁，存放在網頁上的惡意代碼會注入到使用者的瀏覽器中並執行，導致使用者被攻擊。在這個過程中，攻擊者通過竊取會話Cookie，獲得使用者的隱私資訊，甚至包括密碼等敏感資訊。
漏洞危害
XSS攻擊對Web伺服器本身無直接危害，但它可藉助網站傳播，攻擊網站使用者，竊取網站使用者隱私資訊，從而對網站造成嚴重危害。XSS攻擊可導致以下危害：
釣魚欺騙：利用目標網站的反射型跨站指令碼漏洞將目標網站重新導向到釣魚網站，或者通過注入釣魚JavaScript指令碼監控目標網站的表單輸入，甚至基於DHTML技術發起更進階的釣魚攻擊。
網站掛馬攻擊：攻擊者利用Iframe標籤在指令碼中嵌入隱藏的惡意網站，使用者訪問網站時，將被定向到惡意網站，或遭受惡意網站彈窗等。
身份盜用：XSS攻擊通過盜取使用者的 Cookie ，從而利用該Cookie盜取使用者對該網站的操作許可權。如果攻擊者通過XSS攻擊盜取網站管理使用者的Cookie，網站將會遭受巨大危害。
盜取網站使用者隱私資訊：如果攻擊者盜取使用者身份並獲得使用者操作許可權，使用者的隱私資訊也將被暴露。
垃圾資訊發送：通過XSS攻擊，攻擊者可以在社交網站中，借用被攻擊者的身份將大量的垃圾資訊批量發送給特定的目標群體。
劫持使用者Web行為：通過進階的XSS攻擊，攻擊者可以劫持使用者的Web行為，從而監視使用者的瀏覽歷史、發送與接收資料等。
XSS蠕蟲：通過XSS蠕蟲，攻擊者可以進行廣告、刷流量、掛馬、惡作劇、破壞網上資料、實施DDoS攻擊等惡意行為。
CRLF攻擊
漏洞描述
HTTP響應拆分漏洞，也叫CRLF注入攻擊。CR、LF分別對應斷行符號、換行字元。
HTTP頭資訊由很多被CRLF組合分離的行構成，每行的結構都是“鍵：值”。如果使用者輸入的值部分注入了CRLF字元，它有可能改變的HTTP前序結構。
漏洞危害
攻擊者通過注入自訂HTTP頭資訊（例如，攻擊者可以注入會話cookie或HTML代碼），進行XSS攻擊或會話固定漏洞攻擊等。
SQL注入攻擊
漏洞描述
SQL注入攻擊（SQL Injection，簡稱注入攻擊）是一種發生在應用程式的資料庫層上的安全性漏洞，被廣泛用於非法擷取網站控制權。
如果應用程式中沒有針對輸入字串中夾帶的SQL指令的檢查，攻擊者提交的惡意SQL指令會被資料庫誤認為是正常的SQL指令而被執行， 從而導致資料庫被攻擊，資料被竊取、更改或刪除，甚至造成網站被嵌入惡意代碼、被植入後門程式等危害。
漏洞危害
SQL注入攻擊可導致以下危害：
機密資料被竊取。
核心業務資料被篡改。
網頁被篡改。
資料庫所在的伺服器被攻擊變成傀儡主機，甚至企業網被入侵。
寫入WebShell攻擊
漏洞描述
寫入WebShell攻擊，是指攻擊者正在往網站伺服器寫入網頁木馬程式，企圖控制伺服器的攻擊。
漏洞危害
攻擊者在使用者網站上寫入一個Web木馬後門，進而操作使用者網站上的檔案、執行命令等等。
本地檔案包含
漏洞描述
本地檔案包含是指程式碼在處理包含檔案的時候沒有嚴格控制，攻擊者可以把上傳的靜態檔案、或網站記錄檔作為代碼執行。
漏洞危害
攻擊者利用該漏洞，在伺服器上執行命令，進而擷取到伺服器許可權，造成網站被惡意刪除、使用者和交易資料被篡改等一系列惡性後果。
遠程檔案包含
漏洞描述
遠程檔案包含是指程式碼在處理包含檔案的時候沒有嚴格控制，導致攻擊者可以構造參數包含遠程代碼在伺服器上執行。
漏洞危害
攻擊者利用該漏洞，在伺服器上執行命令，進而擷取到伺服器許可權，造成網站被惡意刪除、使用者和交易資料被篡改等一系列惡性後果。
遠程代碼執行
漏洞描述
遠程代碼執行，也叫代碼注入，是指由於服務端代碼漏洞導致惡意使用者輸入的代碼在服務端被執行的一種高危安全性漏洞。
漏洞危害
攻擊者利用該漏洞，可以在伺服器上執行拼裝的代碼。
FastCGI攻擊
漏洞描述
FastCGI攻擊是Nginx中存在一個較為嚴重的安全性漏洞。FastCGI模組預設情況下可能導致伺服器錯誤地將任何類型的檔案以PHP的方式進行解析。
漏洞危害
惡意的攻擊者可能攻陷支援PHP的Nginx伺服器。