1 越权
问题描述：不同许可权账户之间存在越权访问。
修改建议：加强多用户许可权的验证。
注意：
往往通过不同许可权多用户之间连结访问、 cookie 、修改 id 等 2 明文传输
问题描述：对系统多用户口令保护不足，攻击者可以利用攻击工具，从网络上窃取合法的多用户口令资料。
修改建议：传输的密码必须加密。
注意：所有密码要加密。要复杂加密。不要用 base64 或 md5 。 3 sql 注入
问题描述：攻击者利用 sql 注入漏洞，可以获取资料库中的多种资讯，如：管理后台的密码，从而脱取资料库中的内容（脱库）。
修改建议：对输入引数进行过滤、校验。采用黑白名单方式。
注意：过滤、校验要覆盖系统内所有的引数。 4 跨站指令码攻击
问题描述：对输入资讯没有进行校验，攻击者可以通过巧妙的方法注入恶意指令代码到网页。这种代码通常是 JavaScript，但实际上，也可以包括 Java 、 VBScript 、 ActiveX 、 Flash 或者普通的 HTML 。攻击成功之后，攻击者可以拿到更高的许可权。
修改建议：对多用户输入进行过滤、校验。输出进行 HTML 实体编码。
注意：过滤、校验、 HTML 实体编码。要覆盖所有引数。 5 档案上传漏洞
问题描述：没有对档案上传限制， 可能会被上传可执行档案，或指令码档案。进一步导致服务器沦陷。
修改建议：严格验证上传档案，防止上传 asp 、 aspx 、 asa 、 php 、 jsp 等危险指令码。同事 zui 好加入档案头验证，防止多用户上传非法档案。 6 后台地址泄露
问题描述：后台地址过于简单，为攻击者攻击后台提供了便利。
修改建议：修改后台地址连结，复杂点。 7 敏感资讯泄露
问题描述：系统暴露内部资讯，如：网站的绝对路径、网页原始码、 SQL 语句、中介软件版本、程序异常等资讯。
修改建议：对多用户输入的异常字元过滤。遮蔽一些错误回显，如自定义 404 、 403 、 500 等。 8 命令执行漏洞
问题描述：指令码程序呼叫如 php 的 system 、 exec 、 shell_exec 等。
修改建议：打补丁，对系统内需要执行的命令要严格限制。 9 目录遍历漏洞
问题描述：暴露目录资讯，如开发语言、站点结构
修改建议：修改相关配置。 10 会话重放攻击
问题描述：重复提交资料包。
修改建议：新增 token 验证。时间戳或这图片验证码。
