一、SQL转化成安全漏洞
带的SQL命令的检查，被资料库误以为是正常的SQL命令而运行，进而使资料库受反击，可能将引致统计数据被盗取、更动、删掉，以及进一步引致中文网站被内嵌蓄意标识符、被置入侧门流程等危害性。
一般来说情况下， SQL 转化成的位置主要就包括：
（1）配置文件递交，主要就是POST 允诺，也主要就包括GET 允诺；（2）URL 模块递交，主要就为GET 允诺模块；（3）Cookie 模块递交；（4）HTTP 允诺颈部的许多可修正的值，比如说Referer 、UserAgent 等；（5）许多边沿的输出点，比如说.mp3文档的许多文档重要信息等。SQL转化成的危害性不仅充分体现在资料库微观上，还有可能将严重危害贯穿资料库的作业系统；如果SQL 转化成被用以文档目录，还可能将用以散播蓄意流程等，那些危害性主要就包括但不限于：（1）资料库重要信息外泄：资料库中放置的采用者的个人隐私重要信息的外泄。作为统计数据的储存中心，资料库里往往留存着各种类型的个人隐私重要信息， SQL 转化成反击能引致那些个人隐私重要信息透明化于攻击者。（2）页面盗用：通过操作方式资料库对某一页面展开盗用。（3）中文网站被文档目录，散播蓄意流程：修正资料库许多表头的值，内嵌网马镜像，展开文档目录反击。（4）资料库被蓄意操作方式：资料库伺服器被反击，资料库的系统管理员账号被盗用。（5）伺服器被远程控制，被加装侧门。透过资料库伺服器提供的作业系统支持，让骇客以求修正或控制作业系统。（6）毁坏B57，失去知觉全系统。
二、considerablyJAVA安全漏洞
considerablyJAVA反击（Cross-site scripting，一般来说简称为XSS）发生在应用流程，可被用于展开盗取个人隐私、钓蒙骗、盗取公钥、散播蓄意标识符等反击。
XSS反击采用到的技术主要就为HTML和Javascript，也主要就包括VBScript和ActionScript等。XSS反击对WEB伺服器虽无间接危害性，但是它借助于中文网站展开散播，使中文网站的采用采用者受反击，引致中文网站采用者账号被盗取，进而对中文网站也产生了较严重的危害性。
XSS类别主要就包括：
（1）非长久型considerably：即散射型considerablyJAVA安全漏洞，是目前最普遍的considerably类别。considerably标识符一般存在于镜像中，允诺这样的镜像时，considerably标识符经过服务器端散射回来，这类considerably的标识符不储存到服务器端（比如说资料库中）。上面段落所提的范例就是这类情况。（2）长久型considerably：这是危害性最间接的considerably类别，considerably标识符储存于服务器端（比如说资料库中）。常用情况是某采用者在论坛发贴，如果论坛没有过滤采用者输出的Javascript标识符统计数据，就会引致其他浏览此贴的采用者的浏览器会执行发贴人所内嵌的Javascript标识符。（3）DOMconsiderably（DOM XSS）：是一种发生在应用流程DOM（Document Object Model文档对象模型）中的considerably安全漏洞，很大原因是因为应用流程JAVA处理逻辑引致的安全问题。
三、弱口令安全漏洞
弱口令(weak password)没有严格和准确的定义，一般来说认为容易被别人（他们有可能将对你很了解）猜测到或被破解工具破解的口令均为弱口令。设置公钥一般来说遵循以下原则：
（1）不采用空口令或系统缺省的口令，那些口令众所周知，为典型的弱口令。
（2）口令长度不小于8个字符。
（3）口令不应该为连续的某个字符（例如：AAAAAAAA）或重复某些字符的组合（例如：tzf.tzf.）。
（4）口令应该为以下四类字符的组合，大写字母(A-Z)、小写字母(a-z)、数字(0-9)和特殊字符。每类字符至少包含一个。如果某类字符只包含一个，那么该字符不应为首字符或尾字符。
（5）口令中不应包含本人、父母、子女和配偶的姓名和出生日期、纪念日期、登录名、E-mail地址等等与本人有关的重要信息，以及字典中的单词。
（6）口令不应该为用数字或符号代替某些字母的单词。
（7）口令应该易记且可以快速输出，防止他人从你身后很容易看到你的输出。
（8）至少90天内更换一次口令，防止未被发现的入侵者继续采用该口令。
四、HTTP报头追踪安全漏洞
HTTP/1.1（RFC2616）规范定义了HTTP TRACE方法，主要就是用于应用流程通过向Web伺服器递交TRACE允诺来展开测试或获得诊断重要信息。当Web伺服器启用TRACE时，递交的允诺头会在伺服器响应的内容（Body）中完整的返回，其中HTTP头很可能将包括Session Token、Cookies或其它认证重要信息。
反击者可以利用此安全漏洞来蒙骗合法采用者并得到他们的私人重要信息。该安全漏洞往往与其它方式配合来展开有效反击，由于HTTP TRACE允诺可以通过客户浏览器JAVA发起（如XMLHttpRequest），并可以通过DOM接口来访问，因此很容易被反击者利用。
五、Struts2远程命令执行安全漏洞
ApacheStruts是一款建立Java web应用流程的开放源代码架构。Apache Struts存在一个输出过滤错误，如果遇到转换错误可被利用转化成和执行任意Java标识符。中文网站存在远程标识符执行安全漏洞的大部分原因是由于中文网站采用了Apache Struts Xwork作为中文网站应用框架，由于该软件存在远程标识符执高危安全漏洞，引致中文网站面临安全风险。
六、文档上传安全漏洞
文档上传安全漏洞一般来说由于页面标识符中的文档上传路径变量过滤不严造成的，如果文档上传功能实现标识符没有严格限制采用者上传的文件后缀以及文档类别，反击者可通过Web访问的目录上传任意文档，主要就包括中文网站侧门文档（ webshell ），进而远程控制中文网站伺服器。因此，在开发中文网站及应用流程过程中，需严格限制和校验上传的文档，禁止上传恶意标识符的文档。同时限制相关目录的执行权限，防范webshell反击。
七、私有IP地址外泄安全漏洞
同的方法，如：在局域网内采用Ping命令， Ping对方在网络中的名称而获得IP；在Internet上采用IP版的QQ间接显示。最有效的办法是截获并分析对方的网络统计数据包。反击者可以找到并间接通过软件解析截获后的统计数据包的IP 包头重要信息，再根据那些重要信息了解具体的IP。
针对最有效的“统计数据包分析方法”而言，就可以加装能够自动去掉发送统计数据包包头IP重要信息的许多软件。不过采用那些软件有些缺点，譬如：耗费资源严重，降低计算机性能；访问许多论坛或者中文网站时会受影响；不适合网吧采用者采用等等。
现在的个人采用者采用最普及隐藏IP 的方法应该是采用代理，由于采用代理伺服器后，“转址服务”会对发送出去的统计数据包有所修正，致使“统计数据包分析”的方法失效。许多容易外泄采用者IP 的网络软件(QQ 、MSN 、IE 等)都支持采用代理方式连接Internet ，特别是QQ 采用“ ezProxy ”等代理软件连接后， IP版的QQ都无法显示该IP地址。虽然代理可以有效地隐藏采用者IP，但反击者亦可以绕过代理，查找到对方的真实IP地址，采用者在何种情况下采用何种方法隐藏IP，也要因情况而论。
八、未加密登录允诺
由于Web 配置不安全，登陆允诺把诸如采用者名和公钥等敏感表头未加密展开传输，反击者可以窃听网络以劫获那些敏感重要信息。
九、敏感重要信息外泄安全漏洞
SQL 转化成、XSS、目录遍历、弱口令等均可引致敏感重要信息外泄，反击者可以通过安全漏洞获得敏感重要信息。
Web应用安全漏洞原理
Web应用反击是反击者通过浏览器或反击工具，在URL或者其它输出区域（如配置文件等），向Web伺服器发送特殊允诺，从中发现Web应用流程存在的安全漏洞，进而进一步操纵和控制中文网站，查看、修正未授权的重要信息。
