一、sql注入漏洞。
sql注入攻击（sql injection），简称注入攻击、sql注入，被广泛用于非法获取**控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的sql指令的检查，被数据库误认为是正常的sql指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致**被嵌入恶意**、被植入后门程序等危害。
通常情况下，sql注入的位置包括：
（1）表单提交，主要是post请求，也包括get请求；
（2）url参数提交，主要为get请求参数；
（3）cookie参数提交；
（4）http请求头部的一些可修改的值，比如referer、user_agent等；
（5）一些边缘的输入点，比如。***文件的一些文件信息等。
sql注入的危害不仅体现在数据库层面上，还有可能危及承载数据库的操作系统；如果sql注入被用来挂马，还可能用来传播恶意软件等，这些危害包括但不局限于：
1）数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。作为数据的存储中心，数据库里往往保存着各类的隐私信息，sql注入攻击能导致这些隐私信息透明于攻击者。
2）网页篡改：通过操作数据库对特定网页进行篡改。
3）**被挂马，传播恶意软件：修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。
4）数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员帐户被篡改。
5）服务器被远程控制，被安装后门。经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。
6）破坏硬盘数据，瘫痪全系统。
解决sql注入问题的关键是对所有可能来自用户输入的数据进行严格的检查、对数据库配置使用最小权限原则。 通常使用的方案有：
1）所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到sql语句中。当前几乎所有的数据库系统都提供了参数化sql语句执行接口，使用此接口可以非常有效的防止sql注入攻击。
2）对进入数据库的特殊字符（'"等）进行转义处理，或编码转换。
3）确认每种数据的类型，比如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。
4）数据长度应该严格规定，能在一定程度上防止比较长的sql注入语句无法正确执行。
（5）**每个数据层的编码统一，建议全部使用utf-8编码，上下层编码不一致有可能导致一些过滤模型被绕过。
（6）严格限制**用户的数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害。
（7）避免**显示sql错误信息，比如类型错误、字段不匹配等，防止攻击者利用这些错误信息进行一些判断。
（8）在**发布之前建议使用一些专业的sql注入检测工具进行检测，及时修补这些sql注入漏洞。
二、跨站脚本漏洞。
跨站脚本攻击（cross-site scripting，通常简称为xss）发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意**等攻击。
xss攻击使用到的技术主要为html和j**ascript，也包括vbscript和actionscript等。xss攻击对web服务器虽无直接危害，但是它借助**进行传播，使**的使用用户受到攻击，导致**用户帐号被窃取，从而对**也产生了较严重的危害。
xss类型包括：
（1）非持久型跨站：即反射型跨站脚本漏洞，是目前最普遍的跨站类型。跨站**一般存在于链接中，请求这样的链接时，跨站**经过服务端反射回来，这类跨站的**不存储到服务端（比如数据库中）。
上面章节所举的例子就是这类情况。
（2）持久型跨站：这是危害最直接的跨站类型，跨站**存储于服务端（比如数据库中）。常见情况是某用户在论坛发贴，如果论坛没有过滤用户输入的j**ascript**数据，就会导致其他浏览此贴的用户的浏览器会执行发贴人所嵌入的j**ascript**。
（3）dom跨站（dom xss）：是一种发生在客户端dom（document object model文档对象模型）中的跨站漏洞，很大原因是因为客户端脚本处理逻辑导致的安全问题。
xss的危害包括：
（1）钓鱼欺骗：最典型的就是利用目标**的反射型跨站脚本漏洞将目标**重定向到钓鱼**，或者注入钓鱼j**ascript以监控目标**的表单输入，甚至发起基于dhtml更高级的钓鱼攻击方式。
2）**挂马：跨站时利用iframe嵌入隐藏的恶意**或者将被攻击者定向到恶意**上，或者弹出恶意**窗口等方式都可以进行挂马攻击。
（3）身份盗用：cookie是用户对于特定**的身份验证标志，xss可以盗取到用户的cookie，从而利用该cookie盗取用户对该**的操作权限。如果一个**管理员用户cookie被窃取，将会对**引发巨大的危害。
（4）盗取**用户信息：当能够窃取到用户cookie从而获取到用户身份使，攻击者可以获取到用户对**的操作权限，从而查看用户隐私信息。
（5）垃圾信息发送：比如在sns社区中，利用xss漏洞借用被攻击者的身份发送大量的垃圾信息给特定的目标群。
（6）劫持用户web行为：一些高级的xss攻击甚至可以劫持用户的web行为，监视用户的浏览历史，发送与接收的数据等等。
（7）xss蠕虫：xss 蠕虫可以用来打广告、刷流量、挂马、恶作剧、破坏网上数据、实施ddos攻击等。
常用的防止xss技术包括：
（1）与sql注入防护的建议一样，假定所有输入都是可疑的，必须对所有输入中的script、iframe等字样进行严格的检查。这里的输入不仅仅是用户可以直接交互的输入接口，也包括http请求中的cookie中的变量，http请求头部中的变量等。
2）不仅要验证数据的类型，还要验证其格式、长度、范围和内容。
3）不要仅仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。
（4）对输出的数据也要检查，数据库里的值有可能会在一个大**的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。
（5）在发布应用程序之前测试所有已知的威胁。
三、弱口令漏洞。
弱口令(weak password) 没有严格和准确的定义，通常认为容易被别人（他们有可能对你很了解）猜测到或被破解工具破解的口令均为弱口令。设置密码通常遵循以下原则：
（1）不使用空口令或系统缺省的口令，这些口令众所周之，为典型的弱口令。
（2）口令长度不小于8个字符。
（3）口令不应该为连续的某个字符（例如：aaaaaaaa）或重复某些字符的组合（例如：
（4）口令应该为以下四类字符的组合，大写字母(a-z)、小写字母(a-z)、数字(0-9)和特殊字符。每类字符至少包含一个。如果某类字符只包含一个，那么该字符不应为首字符或尾字符。
（5）口令中不应包含本人、父母、子女和配偶的姓名和出生日期、纪念日期、登录名、e-mail地址等等与本人有关的信息，以及字典中的单词。
（6）口令不应该为用数字或符号代替某些字母的单词。
（7）口令应该易记且可以快速输入，防止他人从你身后很容易看到你的输入。
（8）至少90天内更换一次口令，防止未被发现的入侵者继续使用该口令。
四、http报头追踪漏洞。
http/1.1（rfc2616）规范定义了http trace方法，主要是用于客户端通过向web服务器提交trace请求来进行测试或获得诊断信息。当web服务器启用trace时，提交的请求头会在服务器响应的内容（body）中完整的返回，其中http头很可能包括session token、cookies或其它认证信息。
攻击者可以利用此漏洞来欺骗合法用户并得到他们的私人信息。该漏洞往往与其它方式配合来进行有效攻击，由于http trace请求可以通过客户浏览器脚本发起（如xmlhttprequest），并可以通过dom接口来访问，因此很容易被攻击者利用。
防御http报头追踪漏洞的方法通常禁用http trace方法。
五、struts2远程命令执行漏洞。
apache struts是一款建立j**a web应用程序的开放源**架构。apache struts存在一个输入过滤错误，如果遇到转换错误可被利用注入和执行任意j**a**。
**存在远程**执行漏洞的大部分原因是由于**采用了apache struts xwork作为**应用框架，由于该软件存在远程**执高危漏洞，导致**面临安全风险。cnvd处置过诸多此类漏洞，例如：“gps车载卫星定位系统”**存在远程命令执行漏洞(cnvd-2012-13934)；aspcms留言本远程**执行漏洞（cnvd-2012-11590）等。
修复此类漏洞，只需到apache官网升级apache struts到最新版本：
六、框架钓鱼漏洞（框架注入漏洞）
框架注入攻击是针对internet explorer 5、internet explorer 6、与 internet explorer 7攻击的一种。这种攻击导致internet explorer不检查结果框架的目的**，因而允许任意**像j**ascript或者vbscript跨框架存取。这种攻击也发生在**透过多框架注入，肇因于脚本并不确认来自多框架的输入。
这种其他形式的框架注入会影响所有的不确认不受信任输入的各厂商浏览器和脚本。
信息安全考试汇总
一 判断题 每题2分 1.信息安全保护等级划分为四级。正确。错误。2.确定信息安全保护等级的步骤是赋值 确定两个指标等级 确定业务子系统等级。正确。错误。3.系统里的信息涉及国家秘密的信息系统，只要其中的涉密信息很少，就不算是涉密信息系统。正确。错误。4.互联网安全管理法律法规的适用范围是互联网服务...
英语四级听力常见的场所关系职业词汇总汇
英语四级听力常见的场所，关系，职业词汇总汇。大学university 图书馆。邮局。银行。饭店。旅馆。医院 诊所。机场车站。公司。其他表示职位或身份的词汇。英语四级听力常考习语。an old hand 有经验的人，老手。be in another world 精神恍惚 魂不守舍。be fed up ...
六年级分数应用题常见类型题汇总
2.一袋水泥，用去了 altimg w 16 h 43 剩下的比用去的少10千克，这袋水泥原来重多少千克？分数应用题的一般解题思路 1.找准 12.判断是知 1 用乘法 或求 1 用除法3.找到数的对应分率 最好能画图分析 4.检验 应从不同角度进行检验 三。简单的是字句类型题练习。例一 知 1 一...