网站常见安全漏洞及基本组成
网站的基本构成： 虽然我们这期青训营项目聚焦于后端实现，同时前端也是一个封装较好的安卓app而非网站，但是知识都是相通的，其中依然有渗透的风险。以网站为例，一个网站通常由前端和后端组成，后端还可能包含数据库、服务器等部分。前端负责展示用户界面，后端处理用户请求并与数据库交互。
一些我们经常听到的安全事件：
- 跨站脚本攻击（XSS）： 攻击者将恶意脚本注入到网站中，当用户浏览网页时，脚本在用户浏览器中执行，盗取信息或执行恶意操作。例如挖矿脚本等。
- 跨站请求伪造（CSRF）： 攻击者通过欺骗用户在已登录的情况下执行恶意操作，如更改密码或执行付款。例如在QQ手机客户端里打开某一些链接，由于QQ已经登录，存在一些cookie或者token，就可以直接以用户的身份发送邮件，给好友群发消息等操作。
- SQL注入： 攻击者通过在输入字段中插入恶意SQL代码，成功执行非授权的数据库操作，获取敏感信息或破坏数据。
- 敏感数据泄露： 不正确的配置、弱密码或安全策略不当可能导致敏感数据泄露，危及用户隐私。
- 文件上传漏洞： 攻击者通过上传恶意文件，可能在服务器上执行任意代码，导致服务器受到攻击。
- 点击劫持： 攻击者通过在网页上覆盖一个透明的层，引导用户执行不知情的恶意操作。
网站攻击者及意图：
- 黑客： 通过攻击网站获取敏感信息、窃取账号、破坏数据等，可能出于经济或个人动机。
- 竞争对手： 攻击者可能试图破坏竞争对手的声誉，泄露其敏感信息，或使其服务不可用。
- 活动分子： 攻击者可能试图通过攻击政府机构、组织或公司来表达政治、社会或环境诉求。
- 骇客（Hacktivist）： 这类攻击者可能通过网站攻击来支持某个特定的政治或社会目标，旨在引起关注和影响变革。
漏洞的分类：
- 认证与授权漏洞： 如弱密码、访问控制不当，可能导致未经授权的用户访问敏感信息。
- 输入验证漏洞： 如SQL注入、XSS，攻击者通过恶意输入欺骗系统，执行恶意操作。
- 配置错误： 不正确的配置可能导致敏感数据泄露，如数据库配置不当。
- 敏感数据处理： 不正确的处理敏感数据可能导致数据泄露，如明文存储密码。
- 暴露敏感信息： 在页面源码或URL中泄露敏感信息。
- 不安全的文件上传： 允许用户上传文件时，未正确验证文件类型和内容，可能导致恶意文件执行。
- 不安全的第三方组件： 使用不安全的第三方库或框架可能导致漏洞。
维护网站安全对于保护用户信息、维护声誉和业务连续性至关重要。采取安全措施，如定期安全审计、更新软件、实施防护措施，有助于减少潜在的风险。
