1 越權
問題描述：不同許可權賬戶之間存在越權訪問。
修改建議：加強多使用者許可權的驗證。
注意：
往往透過不同許可權多使用者之間連結訪問、 cookie 、修改 id 等 2 明文傳輸
問題描述：對系統多使用者口令保護不足，攻擊者可以利用攻擊工具，從網路上竊取合法的多使用者口令資料。
修改建議：傳輸的密碼必須加密。
注意：所有密碼要加密。要複雜加密。不要用 base64 或 md5 。 3 sql 注入
問題描述：攻擊者利用 sql 注入漏洞，可以獲取資料庫中的多種資訊，如：管理後臺的密碼，從而脫取資料庫中的內容（脫庫）。
修改建議：對輸入引數進行過濾、校驗。採用黑白名單方式。
注意：過濾、校驗要覆蓋系統內所有的引數。 4 跨站指令碼攻擊
問題描述：對輸入資訊沒有進行校驗，攻擊者可以透過巧妙的方法注入惡意指令程式碼到網頁。這種程式碼通常是 JavaScript，但實際上，也可以包括 Java 、 VBScript 、 ActiveX 、 Flash 或者普通的 HTML 。攻擊成功之後，攻擊者可以拿到更高的許可權。
修改建議：對多使用者輸入進行過濾、校驗。輸出進行 HTML 實體編碼。
注意：過濾、校驗、 HTML 實體編碼。要覆蓋所有引數。 5 檔案上傳漏洞
問題描述：沒有對檔案上傳限制， 可能會被上傳可執行檔案，或指令碼檔案。進一步導致伺服器淪陷。
修改建議：嚴格驗證上傳檔案，防止上傳 asp 、 aspx 、 asa 、 php 、 jsp 等危險指令碼。同事 zui 好加入檔案頭驗證，防止多使用者上傳非法檔案。 6 後臺地址洩露
問題描述：後臺地址過於簡單，為攻擊者攻擊後臺提供了便利。
修改建議：修改後臺地址連結，複雜點。 7 敏感資訊洩露
問題描述：系統暴露內部資訊，如：網站的絕對路徑、網頁原始碼、 SQL 語句、中介軟體版本、程式異常等資訊。
修改建議：對多使用者輸入的異常字元過濾。遮蔽一些錯誤回顯，如自定義 404 、 403 、 500 等。 8 命令執行漏洞
問題描述：指令碼程式呼叫如 php 的 system 、 exec 、 shell_exec 等。
修改建議：打補丁，對系統內需要執行的命令要嚴格限制。 9 目錄遍歷漏洞
問題描述：暴露目錄資訊，如開發語言、站點結構
修改建議：修改相關配置。 10 會話重放攻擊
問題描述：重複提交資料包。
修改建議：新增 token 驗證。時間戳或這圖片驗證碼。
