二十六、WEB 应用威胁有哪些？

WEB 应用威胁有哪些？
在之前的小节中，我们谈到网络的整个链路很长，每一个环节都有可能存在危险。这种威胁可能是物理硬件，操作系统，操作系统上面的软件漏洞，协议漏洞，甚至是人的某些行为导致，场景非常多而本节主要聚焦 Web 层面的安全问题。

1. Web 安全简介
Web 安全是个大课题，面对层出不求的黑客漏洞，个人能力很有限制，所以这边介绍一个平台 国家信息安全漏洞共享平台，可以到上面注册个账号，并订阅漏洞信息报送。

针对各类漏洞笔者归类了 3 个方面：1. 注入与欺骗；2. 编程代码逻辑缺陷；3. 服务器问题；

2. 注入与欺骗
注入一般是将恶意代码以参数的形式传入系统，并诱使系统或者用户手动触发代码事件。欺骗通常是伪造某个客户端身份去访问服务器。

2.1 会话模拟
会话标识
因为 Http 是无状态协议，服务端为了区别不同请求分别来自哪个用户，一般借助的是 Session 和 Cookies。Session 的数据存储在服务端，而 Cookies 存储在客户端。
Cookies 以键值对的方式存储在浏览器中，设置 Cookies 的时候如果指定了过期时间，对应的值就会写到本地磁盘中，时间到了自动剔除。如果没有设置过期时间，它的生命周期就是浏览器关闭了就消失了。
Session 虽然存储在服务端，但是它的 SessionI