1 越權
問題描述：不同許可權賬户之間存在越權訪問。
修改建議：加強多用户許可權的驗證。
注意：
往往通過不同許可權多用户之間連結訪問、 cookie 、修改 id 等 2 明文傳輸
問題描述：對系統多用户口令保護不足，攻擊者可以利用攻擊工具，從網絡上竊取合法的多用户口令資料。
修改建議：傳輸的密碼必須加密。
注意：所有密碼要加密。要複雜加密。不要用 base64 或 md5 。 3 sql 注入
問題描述：攻擊者利用 sql 注入漏洞，可以獲取資料庫中的多種資訊，如：管理後台的密碼，從而脱取資料庫中的內容（脱庫）。
修改建議：對輸入引數進行過濾、校驗。採用黑白名單方式。
注意：過濾、校驗要覆蓋系統內所有的引數。 4 跨站指令碼攻擊
問題描述：對輸入資訊沒有進行校驗，攻擊者可以通過巧妙的方法注入惡意指令代碼到網頁。這種代碼通常是 JavaScript，但實際上，也可以包括 Java 、 VBScript 、 ActiveX 、 Flash 或者普通的 HTML 。攻擊成功之後，攻擊者可以拿到更高的許可權。
修改建議：對多用户輸入進行過濾、校驗。輸出進行 HTML 實體編碼。
注意：過濾、校驗、 HTML 實體編碼。要覆蓋所有引數。 5 檔案上傳漏洞
問題描述：沒有對檔案上傳限制， 可能會被上傳可執行檔案，或指令碼檔案。進一步導致服務器淪陷。
修改建議：嚴格驗證上傳檔案，防止上傳 asp 、 aspx 、 asa 、 php 、 jsp 等危險指令碼。同事 zui 好加入檔案頭驗證，防止多用户上傳非法檔案。 6 後台地址泄露
問題描述：後台地址過於簡單，為攻擊者攻擊後台提供了便利。
修改建議：修改後台地址連結，複雜點。 7 敏感資訊泄露
問題描述：系統暴露內部資訊，如：網站的絕對路徑、網頁原始碼、 SQL 語句、中介軟件版本、程序異常等資訊。
修改建議：對多用户輸入的異常字元過濾。遮蔽一些錯誤回顯，如自定義 404 、 403 、 500 等。 8 命令執行漏洞
問題描述：指令碼程序呼叫如 php 的 system 、 exec 、 shell_exec 等。
修改建議：打補丁，對系統內需要執行的命令要嚴格限制。 9 目錄遍歷漏洞
問題描述：暴露目錄資訊，如開發語言、站點結構
修改建議：修改相關配置。 10 會話重放攻擊
問題描述：重複提交資料包。
修改建議：新增 token 驗證。時間戳或這圖片驗證碼。
