web应用常见7大安全漏洞，浅析产生的原因！

今天整理了关于web前端的干货知识，web应用常见的有哪些安全漏洞呢，这些漏洞产生的原因又是什么呢？这些问题你想过吗？

1.SQL 注入

SQL 注入就是通过给 web 应用接口传入一些特殊字符，达到欺骗服务器执行恶意的 SQL 命令。

SQL 注入漏洞属于后端的范畴，但前端也可做体验上的优化。

原因：当使用外部不可信任的数据作为参数进行数据库的增、删、改、查时，如果未对外部数据进行过滤，就会产生 SQL 注入漏洞。

2.XSS 攻击

XSS 攻击全称跨站脚本攻击(Cross-Site Scripting)，简单的说就是攻击者通过在目标网站上注入恶意脚本并运行，获取用户的敏感信息如 Cookie、SessionID 等，影响网站与用户数据安全。

XSS 攻击更偏向前端的范畴，但后端在保存数据的时候也需要对数据进行安全过滤。

原因：当攻击者通过某种方式向浏览器页面注入了恶意代码，并且浏览器执行了这些代码。

3.CSRF 攻击

CSRF 攻击全称跨站请求伪造(Cross-site Request Forgery)，简单的说就是攻击者盗用了你的身份，以你的名义发送恶意请求。

解决方案：防止 CSRF 攻击需要在服务器端入手，基本的思路是能正确识别是否是用户发起的请求。

4.DDoS 攻击

DoS 攻击全称拒绝服务(Denial of Service)，简单的说就是让一个公开网站无法访问，而 DDoS 攻击(分布式拒绝服务 Distributed Denial of Service)是 DoS 的升级版。这个就完全属于后端的范畴了。

原因：攻击者不断地提出服务请求，让合法用户的请求无法及时处理，这就是 DoS 攻击。

攻击者使用多台计算机或者计算机集群进行 DoS 攻击，就是 DDoS 攻击。

5.XXE 漏洞

XXE 漏洞全称 XML 外部实体漏洞(XML External Entity)，当应用程序解析 XML 输入时，如果没有禁止外部实体的加载，导致可加载恶意外部文件和代码，就会造成任意文件读取、命令执行、内网端口扫描、攻击内网网站等攻击。

这个只在能够接收 XML 格式参数的接口才会出现。

6.JSON 劫持

JSON 劫持(JSON Hijacking)是用于获取敏感数据的一种攻击方式，属于 CSRF 攻击的范畴。

原因：一些 Web 应用会把一些敏感数据以 json 的形式返回到前端，如果仅仅通过 Cookie 来判断请求是否合法，那么就可以利用类似 CSRF 的手段，向目标服务器发送请求，以获得敏感数据。

7.暴力破解

这个一般针对密码而言，弱密码(Weak Password)很容易被别人(对你很了解的人等)猜到或被破解工具暴力破解。

             如果你对网络安全入门感兴趣，那么你点击这里👉CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

如果你对网络安全感兴趣，学习资源免费分享，保证100%免费！！！（嘿客入门教程）

 👉网安（嘿客）全套学习视频👈

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

👉网安（嘿客红蓝对抗）所有方向的学习路线👈

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

 学习资料工具包

压箱底的好资料，全面地介绍网络安全的基础理论，包括逆向、八层网络防御、汇编语言、白帽子web安全、密码学、网络安全协议等，将基础理论和主流工具的应用实践紧密结合，有利于读者理解各种主流工具背后的实现机制。

面试题资料

独家渠道收集京东、360、天融信等公司测试题！进大厂指日可待！

👉嘿客必备开发工具👈

工欲善其事必先利其器。学习嘿客常用的开发软件都在这里了，给大家节省了很多时间。

这份完整版的网络安全（嘿客）全套学习资料已经上传至CSDN官方，朋友们如果需要点击下方链接也可扫描下方微信二v码获取网络工程师全套资料【保证100%免费】

如果你有需要可以点击👉CSDN大礼包：《嘿客&网络安全入门&进阶学习资源包》免费分享