2024年系统等级保护中的Web应用安全评估_等保测评 为什么需要web应用，网络安全网络通信面试题

学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

图1  OWASP Web应用安全隐患排名

从图中可以看出有两个概率最高的攻击手段，它们分别是“跨站点脚本攻击”（Cross-Site Scripting）和“注入缺陷”（Injection Flaws）。下面将通过举例来说明这两种攻击是如何实施的。

2.1. 跨站脚本攻击

跨站脚本攻击指的是攻击者往Web页面里插入恶意html代码，当用户浏览该页面时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的，其攻击对象主要是Web应用的访问者而非Web应用系统本身。跨站脚本攻击属于被动式的攻击，因为需要访问特定Web页面才能进行攻击，因为其被动且不好利用，所以许多人常忽略其危害性。

跨站脚本攻击得以实现的前提是可以在Web页面中插入特定的html代码，这一般是通过利用Web应用对提交数据的检查漏洞来完成。以BBS为例，如果Web应用没有对用户的输入进行检查，恶意攻击者可以在BBS的输入框中提交如下内容：

你好