web常见漏洞有哪些以及漏洞监测有什么方法？

网络存在很多不确定的风险因素，特别是对于网站、服务器来说，时刻监测漏洞是保障其安全运行的必要手段之一。

一、漏洞扫描是什么意思？

漏洞扫描是指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种安全检测（渗透攻击）行为。

漏洞扫描器包括网络漏扫、主机漏扫、数据库漏扫等不同种类。

web服务 漏洞监测

二、web常见漏洞有哪些？

1.sql 漏洞

SQL注入攻击是黑客对数据库进行攻击的常用手段之一。随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。

2.XSS 夸站点漏洞

XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如 同源策略(same origin policy)。这种类型的漏洞由于被黑客用来编写危害性更大的 网络钓鱼(Phishing)攻击而变得广为人知。对于 跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“ 缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。

3.缓冲区溢出

缓冲区溢出漏洞是指在程序试图将数据放到及其内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出的现象。

三、web服务 漏洞监测有什么方法？

1、源代码扫描

源代码扫描主要针对开放源代码的程序，通过检查程序中不符合安全规则的文件结构、命名规则、函数、堆栈指针等，进而发现程序中可能隐含的安全缺陷。

2、反汇编扫描

反汇编扫描对于不公开源代码的程序来说往往是最有效的发现安全漏洞的办法。分析反汇编代码需要有丰富的经验，也可以使用辅助工具来帮助简化这个过程，但不可能有一种完全自动的工具来完成这个过程。

3、环境错误注入

由程序执行是一个动态过程这个特点，不难看出静态的代码扫描是不完备的。环境错误注入是一种比较成熟的软件测试方法，这种方法在协议安全测试等领域中都已经得到了广泛的应用。