2024年3月27日发(作者：)

Web应用中常见39种不同的安全漏洞漏洞分析及检查方法

1.1 SQL注入漏洞

风险等级：高危

漏洞描述：

SQL注入漏洞产生的原因是网站应用程序在编写时未对用户提交至服务器的数

据进行合法性校验，即没有进行有效地特殊字符过滤，导致网站服务器存在安全

风险，这就是SQL Injection，即SQL注入漏洞。

漏洞危害：

1) 机密数据被窃取；

2) 核心业务数据被篡改；

3) 网页被篡改；

4) 数据库所在服务器被攻击从而变为傀儡主机，导致局域网(内网)被入侵。

修复建议：

1) 在网页代码中对用户输入的数据进行严格过滤；（代码层）

2) 部署Web应用防火墙；（设备层）

3) 对数据库操作进行监控。（数据库层）

代码层最佳防御sql漏洞方案：采用sql语句预编译和绑定变量，是防御sql

注入的最佳方法。

原因：采用了PreparedStatement，就会将sql语句："select id, no from user

where id=?" 预先编译好，也就是SQL引擎会预先进行语法分析，产生语法树，

生成执行计划，也就是说，后面你输入的参数，无论你输入的是什么，都不会影

响该sql语句的 语法结构了，因为语法分析已经完成了，而语法分析主要是分

析sql命令，比如select ,from ,where ,and, or ,order by 等等。所以即使

你后面输入了这些sql命令，也不会被当成sql命令来执行了，因为这些sql

命令的执行， 必须先的通过语法分析，生成执行计划，既然语法分析已经完成，

已经预编译过了，那么后面输入的参数，是绝对不可能作为sql命令来执行的，

只会被当做字符串字面值参数，所以sql语句预编译可以防御sql注入。

其他防御方式：正则过滤

1.2 目录遍历漏洞

风险等级：中危

漏洞描述：

通过该漏洞可以获取系统文件及服务器的配置文件。利用服务器API、文件标准

权限进行攻击。

漏洞危害：

黑客可获得服务器上的文件目录结构，从而下载敏感文件。

修复建议：

1) 通过修改配置文件，去除中间件（如IIS、apache、tomcat）的文件目录索

引功能

2) 设置目录权限

3) 在每个目录下创建一个空的页面。

1.3 跨站脚本漏洞

即XSS漏洞，利用跨站脚本漏洞可以在网站中插入任意代码，它能够获取网站管

理员或普通用户的cookie，隐蔽运行网页木马，甚至格式化浏览者的硬盘。

漏洞危害：

1) 网络钓鱼，盗取管理员或用户帐号和隐私信息等；

2) 劫持合法用户会话，利用管理员身份进行恶意操作，篡改页面内容、进一步

渗透网站；

3) 网页挂马、传播跨站脚本蠕虫等；

4) 控制受害者机器向其他系统发起攻击。

修复建议：

设置httponly

httponly无法完全的防御xss漏洞，它只是规定了不能使用js去获取cookie

的内容，因此它只能防御利用xss进行cookie劫持的问题。Httponly是在

set-cookie时标记的，可对单独某个参数标记也可对全部参数标记。由于设置

httponly的方法比较简单，使用也很灵活，并且对防御cookie劫持非常有用，

因此已经渐渐成为一种默认的标准。