今天学习了第十五节课《网站常见安全漏洞》，本人根据课上以及私下去网上搜寻到的资料，总结了几个可能会发生在网站上面的常见漏洞，如下：
- 第三方组件漏洞：指由于使用了存在安全缺陷的第三方软件或库而导致的漏洞。如果一个网站使用了一个有缓冲区溢出漏洞的图像处理库，那攻击者可能通过发送恶意的图像文件来执行任意代码。
- SQL 注入：指利用数据库查询语句中的输入参数没有进行合适的过滤或转义而导致的漏洞。其核心是将用户输入的数据拼接到代码当中，并被当作sql语句执行。例如，如果一个网站使用了类似于 SELECT * FROM users WHERE username = 'password' 的语句来验证用户登录，那么攻击者可以通过输入类似于 admin' OR 1 = 1 -- 的用户名来绕过密码验证。
- 越权漏洞：指由于未进行权限检查而导致的漏洞。如果一个网站允许用户通过类似于 example.com/profile.php… 的URL来查看或修改自己的个人信息，攻击者可以通过修改 id 参数来查看或修改其他用户的个人信息。
- 点击劫持：这是指利用透明的或隐蔽的元素覆盖在用户想要点击的元素上而导致的漏洞。例如，如果一个网站使用用户点击的方式来实现转账功能，那么攻击者可能通过在用户想要点击的元素上覆盖另一个其他的透明或不易察觉的元素来篡改用户输入的转账信息。
- 文件上传漏洞：这是指由于没有进行合适的文件类型检查或过滤而导致的漏洞。例如，如果一个网站允许用户上传任意类型的文件，那么攻击者可以上传包含恶意代码的文件，如PHP脚本或可执行文件，并通过访问该文件来执行任意代码。
- 开放重定向：这是指由于没有进行合适的URL验证或过滤而导致的漏洞。
- SSRF：服务器端请求伪造（Server-Side Request Forgery）的缩写，也是指利用服务器端发起的请求中的输入参数没有进行合适的过滤或限制而导致的漏洞。
