11
CSRF（跨站请求伪造）
问题描述：使用已经登陆多用户，在不知情的情况下执行某种动作的攻击。
修改建议：新增 token 验证。时间戳或这图片验证码。
12
任意档案包含、任意档案下载
问题描述：任意档案包含，系统对传入的档名没有合理的校验，从而操作了预想之外的档案。任意档案下载，系统提供了下载功能，却未对下载档名进行限制。
修改建议：对多用户提交的档名限制。防止恶意的档案读取、下载。
13
设计缺陷/逻辑错误
问题描述：程序通过逻辑实现丰富的功能。很多情况，逻辑功能存在缺陷。比如，程序设计师的安全意识、考虑的不周全等。
修改建议：加强程序的设计和逻辑判断。
14
XML 实体注入
问题描述：当允许引用外部实体是，通过构造恶意内容，可导致读取任意档案、执行系统命令、探测内网埠等等。
修改建议：使用开发语言提供的禁用外部实体方法，过滤多用户提交的 XML 资料。
15
检测存在风险的无关服务和埠
问题描述：检测存在风险的无关服务和埠，为攻击者提供便利。
修改建议：关闭无用的服务和埠，前期只开 80 和资料库埠，使用的时候开放 20 或者 21 埠。
16
登陆功能验证码漏洞
问题描述：不断恶意重复一个有效的资料包，重复发给服务端。服务端未对多用户提交的资料包进行有效的限制。
修改建议：验证码在服务器后端重新整理，资料包提交一次资料数重新整理一次。
17
不安全的 cookies
问题描述：cookies 中包含多用户名称或密码等敏感资讯。
修改建议：去掉 cookies 中的多用户名称，密码。
18
SSL3.0
问题描述：SSL 是为网络通讯提供安全及资料完整性的一种安全协议。 SSl 会爆一些漏洞。如：心脏滴血漏洞等。
修改建议：升级 OpenSSL 版本
19
SSRF 漏洞
问题描述：服务端请求伪造。
修改建议：打补丁，或者解除安装无用的包
20
预设口令、弱口令
问题描述：因为预设口令、弱口令很容易让人猜到。
修改建议：加强口令强度不适用弱口令
注意：口令不要出现常见的单词。如：root123456 、 admin1234 、 qwer1234 、 p@ssw0rd 等。