网安小知识点

1.EAR漏洞

翻译过来应该是执行重定向逻辑漏洞，英文按照理解应该是execution after redirection，其实按照审计的思路这个漏洞不是很复杂，其实就是对于某些关键操作的鉴权没有加上exit等操作，导致程序虽然进行了header跳转或者href跳转，但是页面代码及页面内容仍旧可以执行或返回。

2.文件包含漏洞

本地文件包含漏洞：仅能够对服务器本地的文件进行包含，由于服务器上的文件并不是攻击者所能够控制的。因此该情况下，攻击者更多地会包含一些固定的系统配置文件，从而读取系统敏感信息。很多时侯本地文件包含漏洞会结合一些特殊的文件上传漏洞，从而形成更大的威力。

远程文件包含漏洞：能够通过url地址对远程文件进行包含，这意味着攻击者可以传入任意的代码，这种情况很严重。

3.命令注入

OS命令注入(也称为shell注入)是一种web安全漏洞，它允许攻击者在运行应用程序的服务器上执行任意操作系统(OS)命令，通常会完全破坏应用程序及其所有数据。通常，攻击者可以利用OS命令注入漏洞来破坏宿主基础设施的其他部分，利用信任关系将攻击转移到组织内的其他系统。

4.代码执行

用户输入的数据被当做后端代码进行执行

5.AppScan

6.AWVS

web安全测试工具

7.Nessus