1漏洞库详述 1.1 高危漏洞
1.1.1 SQL注入漏洞
漏洞名称 漏洞等级 漏洞危害 SQL注入漏洞 高危 攻击者可通过SQL注入漏洞轻松获取系统所有用户数据，甚至可以通过SQL注入漏洞完全控制系统。 解决方案 1. 全方面检测服务器和内网服务器并清除残留的木马后门或从新安装系统和Web应用程序。 2. 使用第三方防火墙加固整个系统。 1.1.2 XSS跨站漏洞
漏洞名称 漏洞等级 漏洞危害 XSS跨站漏洞 高危 XSS攻击对WEB服务器虽无直接危害，但是它借助网站进行传播，使网站的用户受到攻击，导致网站用户帐号被窃取，从而对网站也产生了较严重的危害。 解决方案 把一些预定义的字符转换为 HTML 实体，如： &（和号） 成为& \（双引号） 成为 " ' （单引号） 成为 ' < （小于） 成为 < > （大于） 成为 > 1.1.3文件上传漏洞
漏洞名称 漏洞等级 漏洞危害 文件上传漏洞 高危 攻击者可通过文件上传漏洞，上传木马文件至服务器，直接影响到网站，用户数据。 解决方案 1. 对文件扩展名做白名单 2.对文件进行重命名操作 3.使用单独图片服务器 1.1.4命令执行漏洞
漏洞名称 漏洞等级 漏洞危害 命令执行漏洞 高危 攻击者利用此漏洞，可以直接执行系统命令，存在此漏洞的主机，已经是攻击者的后花园。比如著名的Struts2 命令执行漏洞。 解决方案 1. 尽量不使用命令执行函数 2. 限制用户执行命令权限 1.1.5文件包含漏洞
漏洞名称 漏洞等级 漏洞危害 解决方案 文件包含漏洞 高危 文件包含可以将图片，文本文件当做网页木马文件来运行。 文件包含漏洞又分为本地包含漏洞和远程包含漏洞，一般只出现在PHP系统中，将被包含文件写为固定格式，不要试图用变量去包含，一般即可解决包含漏洞。 1.1.6 WebDAV漏洞
漏洞名称 漏洞等级 漏洞危害 解决方案 WebDAV漏洞 高危 攻击者可以通过WebDAV漏洞直接上传网页木马到服务器。 取消IIS WebDAV的扩展支持。 1.1.7 任意文件下载
漏洞名称 漏洞等级 漏洞危害 解决方案 任意文件下载 高危 攻击者可通过此漏洞下载服务器任意文件，包括数据库密码配置文件。 此类问题属于逻辑漏洞，可将允许下载的文件限制的某个目录中。 1.1.8编辑器漏洞
漏洞名称 漏洞等级 漏洞危害 解决方案 编辑器漏洞 高危 攻击者可通过此漏洞上传木马文件到服务器。 此类问题属于插件文件上传漏洞，解决方案请参见文件上传漏洞。 1.1.9敏感文件泄露
漏洞名称 漏洞等级 漏洞危害 敏感文件泄露 高危 敏感文件泄露是高危漏洞之一，敏感文件包括数据库配置信息，网站后台路径，物理路径泄露等，此漏洞可以帮助攻击者进一步攻击，敞开系统的大门。 解决方案 1、使用非常规的文件名称。 2、特定的文件设置合理的权限。 3、删除一些不需要的敏感文件。 1.1.10 CSRF漏洞
漏洞名称 漏洞等级 漏洞危害 CSRF漏洞 高危 CSRF（Cross-site request forgery）跨站请求伪造，攻击方式比较隐秘，通过CSRF漏洞攻击者完全可以盗取用户财产，会话等信息。完全公职当前用户。 解决方案 1、在敏感操作时添加二次认证措施(推荐)。 2、使用验证码手段。
1.1.11解析漏洞
漏洞名称 漏洞等级 漏洞危害 解析漏洞 高危 解析漏洞一般与文件上传漏洞相配合，通过配合可以直接拿到网站系统权限。 解决方案 升级Web容器。 1.1.12逻辑漏洞
漏洞名称 漏洞等级 漏洞危害 逻辑漏洞 高危 逻辑漏洞与普通的Web层次的漏洞不一，逻辑漏洞属于程序员代码编写问题，此类漏洞的危害是巨大的，通过此类漏洞可以修改任意用户密码，盗取用户数据等。 解决方案
代码逻辑升级。 1.1.13历史遗留后门
漏洞名称 历史遗留后门
漏洞说明-写渗透测试报告必备讲解
