网站常见安全漏洞的知识。
漏洞概览
网站组成：前端+网关+后端+前后端交互
网络漏洞指在一个网站或应用程序中存在的潜在风险和漏洞，可能允许恶意用户或黑客获取未经授权的访问或执行恶意操作。
网络漏洞可以分成两类，服务端漏洞和客户端漏洞。
服务端漏洞：SQL,命令注入，ssrf，文件上传，...
客户端漏洞：XSS，CSRF，点击劫持，...
服务端漏洞
代码注入：恶意用户通过将恶意代码插入到服务器端应用程序中，利用代码执行漏洞来执行不受欢迎的操作。
未经身份验证的访问：如果服务器端没有适当的身份验证措施，攻击者可能能够绕过身份验证，访问受限资源。
敏感数据泄露：不正确的配置、错误的错误处理或其他问题可能导致敏感数据（如数据库凭证、API密钥等）泄露给攻击者。
缓冲区溢出：服务器端代码中存在缓冲区溢出漏洞时，攻击者可以通过输入过多数据来覆盖内存区域，可能导致应用程序崩溃或执行恶意代码。
拒绝服务攻击 (DoS)：攻击者通过耗尽服务器资源，如带宽、内存或处理能力，来阻止正常用户访问。
特权提升：如果服务器端应用程序在权限管理上存在漏洞，攻击者可能能够提升其权限，获得更大的控制权。
远程执行漏洞：恶意用户可能通过触发远程执行漏洞，将恶意代码传递给服务器执行，从而控制服务器。
不安全的文件操作：如果服务器端应用程序对用户上传的文件没有进行适当的验证和处理，攻击者可能上传恶意文件并执行它们。
安全配置问题：不正确配置的服务器、数据库或其他服务可能暴露敏感信息或功能。
逻辑漏洞：这种漏洞不涉及技术问题，而是利用应用程序逻辑中的错误或缺陷，例如未经授权的访问或功能滥用。
客户端漏洞
跨站脚本攻击 (XSS)：类似于服务端漏洞，XSS漏洞也可能存在于客户端，攻击者可以在网页中注入恶意脚本，从而在用户浏览器中执行。
恶意软件和病毒：用户下载和安装恶意软件或病毒可能导致信息泄露、系统瘫痪或黑客入侵。
不安全的身份验证：弱密码、密码重用和缺乏多因素身份验证等问题可能导致黑客访问用户帐户。
安全配置问题：错误的隐私设置、不正确的权限授予和未更新的软件可能使用户的系统和数据容易受到攻击。
社交工程：攻击者可能通过欺骗手段诱使用户揭示个人信息或执行不受欢迎的操作。
不安全的Wi-Fi连接：连接到不安全的公共Wi-Fi网络可能使用户的数据容易被截获，从而导致隐私泄露。
应用程序漏洞：客户端应用程序可能存在漏洞，如不正确的输入验证、不安全的存储、代码执行问题等。
恶意广告和钓鱼：恶意广告可能引导用户点击恶意链接，而钓鱼网站可能伪装成合法网站来窃取用户信息。
设备丢失或被盗：如果设备被丢失或被盗，未加密的数据可能会落入不法之手。
应用程序权限滥用：恶意应用程序可能会请求过多的权限，以便滥用用户的隐私或设备功能。
