信息项目安全常见漏洞类型汇总汇总.docVIP

信息项目安全常见漏洞类型汇总汇总 信息项目安全常见漏洞类型汇总汇总 PAGE / NUMPAGES 信息项目安全常见漏洞类型汇总汇总 - 让每个人平等地提升自我 一、 SQL 注入漏洞 SQL 注入攻击（ SQL Injection ），简称注入攻击、 SQL 注入，被广泛用 于非法获取网站控制权， 是发生在应用程序的数据库层上的安全漏洞。 在设计程序， 忽略了对输入字符串中夹带的 SQL 指令的检查，被数据库误认为是正常的 SQL 指 令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一 步导致网站被嵌入恶意代码、被植入后门程序等危害。 通常情况下， SQL 注入的位置包括： 1）表单提交，主要是 POST 请求，也包括 GET 请求； 2）URL 参数提交，主要为 GET 请求参数； 3）Cookie 参数提交； （ 4）HTTP 请求头部的一些可修改的值，比如 Referer 、 User_Agent 等； （ 5）一些边缘的输入点，比如 .mp3 文件的一些文件信息等。 1 - 让每个人平等地提升自我 SQL 注入的危害不仅体现在数据库层面上， 还有可能危及承载数据库的操 作系统；如果 SQL 注入被用来挂马，还可能用来传播恶意软件等，这些危害包括但 不局限于： （1）数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。作为数据 的存储