日期：2023年08月27日
一、开放重定向
开放重定向是一种让用户重定向到恶意网站的安全漏洞。攻击者可以通过修改URL参数，使得用户在点击链接后被重定向到恶意网站，从而进行网络钓鱼攻击或者窃取用户信息。
二、XSS (跨站脚本攻击)
XSS是一种在网页中插入恶意脚本，通过浏览器执行这些脚本，从而获取用户敏感信息的攻击手段。有三种类型的XSS攻击：存储型、反射型和DOM型。防范XSS的主要方法是进行输入过滤和输出编码。
三、CSRF (跨站请求伪造)
CSRF是一种强制用户在不知情的情况下执行非预期的操作的攻击手段。攻击者可以利用用户的登录状态，伪造请求来执行非法操作。防范CSRF的方法包括使用CSRF token，验证Referer字段，以及使用SameSite Cookie属性。
四、点击劫持（Clickjacking）
点击劫持是一种通过覆盖透明层欺骗用户点击的技术。用户认为他们点击的是正常的网页元素，但实际上他们正在进行攻击者希望的操作。防止点击劫持的方法主要是使用X-Frame-Options和Content-Security-Policy HTTP头。
五、CORS跨域配置错误
CORS（Cross-Origin Resource Sharing）是一种允许不同域名的请求的机制。如果CORS配置错误，可能会导致敏感信息被非法获取。防范方法是严格设置CORS策略，限制允许的源和HTTP方法。
六、WebSocket
WebSocket是一种在单个TCP连接上进行全双工通信的协议。如果WebSocket的使用不当，可能会导致信息泄露或被恶意利用。防范方法包括使用WSS协议（WebSocket Secure），验证和过滤输入，以及限制消息大小。
七、第三方组件漏洞
第三方组件，如库、框架和其他软件模块，可能存在漏洞，攻击者可以利用这些漏洞进行攻击。防范方法是定期更新和修补这些组件，使用安全的配置，以及减少不必要的组件。
八、SQL注入
SQL注入是一种攻击手段，攻击者通过输入恶意SQL语句来影响数据库的操作。防范SQL注入的方法包括使用参数化查询，限制数据库权限，以及进行输入验证和过滤。
九、命令执行
命令执行是一种攻击手段，攻击者通过输入恶意命令来控制服务器。防范方法包括限制服务器权限，过滤和验证输入，以及使用安全的API。
十、越权漏洞
越权漏洞是一种攻击手段，攻击者通过提升权限来执行非法操作。防范方法包括使用最小权限原则，实施严格的访问控制，以及进行详细的审计和日志记录。
十一、SSRF (服务器端请求伪造)
SSRF是一种攻击手段，攻击者通过伪造服务器端请求来攻击内部系统。防范方法包括过滤和验证输入，限制出站连接，以及使用安全的API。
十二、文件上传漏洞
文件上传漏洞是一种攻击手段，攻击者通过上传恶意文件来攻击系统。防范方法包括验证和过滤文件类型，限制文件大小，以及使用安全的文件处理API。
总结
以上就是关于网站常见安全漏洞的学习笔记，希望能够帮助大家提高网络安全意识和防范能力。
