常见漏洞危害总结

⽤⾃⼰的理解说明如下漏洞的危害

跨站脚本测试（XSS）

XSS的危害与JS的功能有关。主要有以下几个危害：一是弹窗。比如用<script>alert(/xss/)</script>在有XSS的地方弹窗，造成骚扰；二是盗取账号。在用户误点后出现弹窗会将攻击者盗取账号信息；三是盗取cookie。比如储存型XSS在留言板被点击后就会造成cookie泄露，攻击者可以不需要用户名密码就用cookie登录后台。

HTTP header测试

HTTP头部漏洞是因为开放人员没有对HTTP头部进行严格的过滤，所以出现的cookie、UA、referer可以被注入的漏洞。它的危害主要有以下几点：一是敏感信息泄露；二是可以执行XSS、CSRF、SQL注入等注入型的漏洞。

服务器端请求伪造（SSRF）测试

SSRF的危害是伪造服务器的请求。它主要有下面几个危害：一是读取文件。比如在url中使用file：//伪协议读取文件信息；二是探测端口是否开放。比如在url中使用dict伪协议，后面跟上端口号，探测端口是否开放；三是识别内网指纹。内网的web应用一般都有一些独特的文件和目录，用SSRF构建URL可以设别出应用的类型、版本号等。

跨站请求伪造（CSRF）测试

CSRF的危害是更改客户的请求，用户能做什么它就能做什么。它主要有以下几个危害：一是盗以受害者名义发邮件。当用户登录自己