1. 需要考慮的web安全問題具體有哪些
1、來自伺服器本身及網路環境的安全，這包括伺服器系統漏洞，系統許可權，網路環境（如ARP等）專、網屬絡埠管理等，這個是基礎。
2、來自WEB伺服器應用的安全，IIS或者Apache等，本身的配置、許可權等，這個直接影響訪問網站的效率和結果。
3、網站程序的安全，這可能程序漏洞，程序的許可權審核，以及執行的效率，這個是WEB安全中佔比例非常高的一部分。
4、WEB Server周邊應用的安全，一台WEB伺服器通常不是獨立存在的，可能其它的應用伺服器會影響到WEB伺服器的安全，如資料庫服務、FTP服務等。
2. 闡述解決Web應用程序安全問題的基本策略
Web站點的安全有可能是當今保障企業安全技術中最容易被忽視的領域，
各種各樣的攻擊已經證明Web應用程序的安全是極為關鍵的。如果你的Web應用程序受到了破壞，那麼黑客們將完全可以訪問你的後端數據，即使你的防火牆配置正確，而且即使你的操作系統和應用程序經常打補丁！
網路安全防禦並沒有針對Web應用程序的攻擊提供安全保護，因為這些攻擊是在80號埠（Web站點的默認埠）上發動的，而這些埠必須保持開放性以允許企業網站的正常操作。
為了實現最廣泛的安全策略，你定期地、一致地審核Web應用程序的可能被利用的漏洞勢在必行。
3. web伺服器可能存在的安全問題有哪些
1、來自伺服器本身及網路環境的安全，這包括伺服器系統漏洞，系統許可權，網路環境（如ARP等）專、網屬絡埠管理等，這個是基礎。
2、來自WEB伺服器應用的安全，IIS或者Apache等，本身的配置、許可權等，這個直接影響訪問網站的效率和結果。
3、網站程序的安全，這可能程序漏洞，程序的許可權審核，以及執行的效率，這個是WEB安全中佔比例非常高的一部分。
4、WEB Server周邊應用的安全，一台WEB伺服器通常不是獨立存在的，可能其它的應用伺服器會影響到WEB伺服器的安全，如資料庫服務、FTP服務等。
4. 通常可能帶來Web站點上的安全問題有哪些
1，給web服務端帶了的問題：
a，SQL注入，組要是由web代碼和資料庫交互時候導致的。不過這個問題可以通過一些框架可以方便的解決，如java的ibatis或者mybatis框架。
b，web伺服器配置錯誤，如開啟了put，delete方法。這些可以通過修對應的web伺服器配置解決，如apache，iis的配置。
c，web應用伺服器的錯誤配置，如jboss，tomcat的配置。同樣適用安全的配置方法可以解決。
d，web應用代碼邏輯導致的問題，如上次漏洞，系統命令注入漏洞，url跳轉漏洞，等等。
2，給客戶端帶來的問題。
a，XSS
b，CSRF
d，url跳轉。
5. 針對web應用存在哪些安全威脅提出相應的安全防護措施
應用安全防護解決思路：應用安全問題本質上源於軟體質量問題。但應用相較傳統的軟體，具有其獨特性。應用往往是某個機構所獨有的應用，對其存在的漏洞，已知的通用漏洞簽名缺乏有效性；需要頻繁地變更以滿足業務目標，從而使得很難維持有序的開發周期；需要全面考慮客戶端與服務端的復雜交互場景，而往往很多開發者沒有很好地理解業務流程；人們通常認為開發比較簡單，缺乏經驗的開發者也可以勝任。針對應用安全，理想情況下應該在軟體開發生命周期遵循安全編碼原則，並在各階段採取相應的安全措施。然而，多數網站的實際情況是：大量早期開發的應用，由於歷史原因，都存在不同程度的安全問題。對於這些已上線、正提供生產的應用，由於其定製化特點決定了沒有通用補丁可用，而整改代碼因代價過大變得較難施行或者需要較長的整改周期。針對這種現狀，專業的安全防護工具是一種合理的選擇。應用防火牆（以下簡稱）正是這類專業工具，提供了一種安全運維控制手段：基於對流量的雙向分析，為應用提供實時的防護。與傳統防火牆設備相比較，最顯著的技術差異性體現在：對有本質的理解：能完整地解析，包括報文頭部、參數及載荷。支持各種編碼（如、壓縮）；提供嚴格的協議驗證；提供限制；支持各類字元集編碼；具備過濾能力。提供應用層規則：應用通常是定製化的，傳統的針對已知漏洞的規則往往不夠有效。提供專用的應用層規則，且具備檢測變形攻擊的能力，如檢測加密流量中混雜的攻擊。提供正向安全模型（白名單）：僅允許已知有效的輸入通過，為應用提供了一個外部的輸入驗證機制，安全性更為可靠。提供會話防護機制：協議最大的弊端在於缺乏一個可靠的會話管理機制。為此進行有效補充，防護基於會話的攻擊類型，如篡改及會話劫持攻擊。如何正確選擇並非對伺服器提供保護的「盒子」都是。事實上，一個真正滿足需求的應該具有二維的防護體系：縱向提供縱深防禦：通過建立協議層次、信息流向等縱向結構層次，構築多種有效防禦措施阻止攻擊並發出告警。橫向：滿足合規要求；緩解各類安全威脅（包括網路層面、基礎架構及應用層面）；降低服務響應時間、顯著改善終端用戶體驗，優化業務資源和提高應用系統敏捷性。在選擇產品時，建議參考以下步驟：結合業務需求明確安全策略目標，從而定義清楚產品必須具備的控制能力評估每一家廠商產品可以覆蓋的風險類型測試產品功能、性能及可伸縮性評估廠商的技術支持能力評估內部維護團隊是否具備維護、管理產品的必需技能權衡安全、產出以及總成本。「成本」不僅僅意味著購買安全產品服務產生的直接支出，還需要考慮是否影響組織的正常業務、是否給維護人員帶來較大的管理開銷
6. 要想實現web應用安全有哪些防禦措施呢
傳統的方式目前已經存在了一些不足，比如對http流量或者https流量進行檢測，並不能夠完全解決用戶應用層或者Web層的安全問題。同時，要想實現web應用安全並不需要只是簡單的基於協議本身進行防禦，而更多的是要基於邏輯、基於行為、基於流程進行防禦。我比較推薦的是F5公司的產品，不僅能夠解決傳統WAF要解決的XSS,SQL注入這樣的代碼及漏洞，還能關注到像暴庫、爆破，像利用被偷盜的用戶憑證進行登陸的這樣的行為，包括對七層DDoS進行防禦的行為。最重要的是，F5的防禦方案從原來基於網路串聯部署的設備，基於協議本身的分析，要變得更加智能，要變得更加的具有控制力。關於web應用安全，F5官網上有更為詳細的介紹，不妨多關注一下。
7. web的安全威脅有哪幾個方面
1、來自伺服器本身及網路環境的安全，這包括伺服器系統漏洞，系統許可權，網路環境（如ARP等）、網路埠管理等，這個是基礎。
2、來自WEB伺服器應用的安全，IIS或者Apache等，本身的配置、許可權等，這個直接影響訪問網站的效率和結果。
3、網站程序的安全，這可能程序漏洞，程序的許可權審核，以及執行的效率，這個是WEB安全中佔比例非常高的一部分。
4、WEB Server周邊應用的安全，一台WEB伺服器通常不是獨立存在的，可能其它的應用伺服器會影響到WEB伺服器的安全，如資料庫服務、FTP服務等。
這只是大概說了一下，關於WEB應用伺服器的安全從來都不是一個獨立存在的問題。
web常見的幾個漏洞
1. SQL注入。SQL注入攻擊是黑客對資料庫進行攻擊的常用手段之一。
2. XSS跨站點腳本。XSS是一種經常出現在web應用中的計算機安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。
3. 緩沖區溢出。緩沖區溢出漏洞是指在程序試圖將數據放到及其內存中的某一個位置的時候，因為沒有足夠的空間就會發生緩沖區溢出的現象。
4. cookies修改。即使 Cookie 被竊取，卻因 Cookie 被隨機更新，且內容無規律性，攻擊者無法加以利用。另外利用了時間戳另一大好處就是防止 Cookie 篡改或重放。
5. 上傳漏洞。這個漏洞在DVBBS6.0時代被黑客們利用的最為猖獗，利用上傳漏洞可以直接得到WEBSHELL，危害等級超級高，現在的入侵中上傳漏洞也是常見的漏洞。
6. 命令行輸入。就是webshell ，拿到了許可權的黑客可以肆意妄為。
8. 作為一個WEB應用開發程序員,在WEB應用開發過程中要注意哪些安全問題
SQL注入攻擊，XSS腳本攻擊，URL頁面傳參<例如：window.location.href='index.aspx?id=1'>，緩存的應用<防止讀臟數據，未更新的數據>
解決方法：
SQL注入攻擊：通過對輸入內容的檢測，例如：檢測關鍵字，即查看輸入的內容裡面是不是有Update insert select Delete 等關鍵字！
XSS腳本攻擊：檢測輸入內容輸入內容是否含有< > <script> <p> <a> 等HTML標記！
參數攻擊：直接在URL中更換參數，查看一些自己沒有許可權查看的內容！即所謂的跨許可權查看。
緩存的應用：使用緩存，就應該及時更新緩存，以防止讀舊數據，臟數據等，也可以使用緩存替換技術！等等等吧！好多呢！ca
9. Web應用常見的安全漏洞有哪些
OWASP總結了現有Web應用程序在安全方面常見的十大漏洞分別是：非法輸入、失效的訪問控制、失效的賬戶和線程管理、跨站腳本攻擊、緩存溢出問題、注入式攻擊、異常錯誤處理、不安全的存儲、程序拒絕服務攻擊、不安全的配置管理等。
非法輸入
Unvalidated Input
在數據被輸入程序前忽略對數據合法性的檢驗是一個常見的編程漏洞。隨著OWASP對Web應用程序脆弱性的調查，非法輸入的問題已成為大多數Web應用程序安全漏洞方面的一個普遍現象。
失效的訪問控制
Broken Access Control
大部分企業都非常關注對已經建立的連接進行控制，但是，允許一個特定的字元串輸入可以讓攻擊行為繞過企業的控制。
失效的賬戶和線程管理
Broken Authentication and Session Management
有良好的訪問控制並不意味著萬事大吉，企業還應該保護用戶的密碼、會話令牌、賬戶列表及其它任何可為攻擊者提供有利信息、能幫助他們攻擊企業網路的內容。
跨站點腳本攻擊
Cross Site Scripting Flaws
這是一種常見的攻擊，當攻擊腳本被嵌入企業的Web頁面或其它可以訪問的Web資源中，沒有保護能力的台式機訪問這個頁面或資源時，腳本就會被啟動，這種攻擊可以影響企業內成百上千員工的終端電腦。
緩存溢出問題
Buffer Overflows
這個問題一般出現在用較早的編程語言、如C語言編寫的程序中，這種編程錯誤其實也是由於沒有很好地確定輸入內容在內存中的位置所致。
注入式攻擊
Injection Flaws
如果沒有成功地阻止帶有語法含義的輸入內容，有可能導致對資料庫信息的非法訪問，在Web表單中輸入的內容應該保持簡單，並且不應包含可被執行的代碼。
異常錯誤處理
Improper Error Handling
當錯誤發生時，向用戶提交錯誤提示是很正常的事情，但是如果提交的錯誤提示中包含了太多的內容，就有可能會被攻擊者分析出網路環境的結構或配置。
不安全的存儲
Insecure Storage
對於Web應用程序來說，妥善保存密碼、用戶名及其他與身份驗證有關的信息是非常重要的工作，對這些信息進行加密則是非常有效的方式，但是一些企業會採用那些未經實踐驗證的加密解決方案，其中就可能存在安全漏洞。
程序拒絕服務攻擊
Application Denial of Service
與拒絕服務攻擊 (DoS)類似，應用程序的DoS攻擊會利用大量非法用戶搶占應用程序資源，導致合法用戶無法使用該Web應用程序。
不安全的配置管理
Insecure Configuration Management
有效的配置管理過程可以為Web應用程序和企業的網路架構提供良好的保護。
以上十個漏洞並不能涵蓋如今企業Web應用程序中的全部脆弱點，它只是OWASP成員最常遇到的問題，也是所有企業在開發和改進Web應用程序時應著重檢查的內容。
10. web 應用的常見 漏洞有哪些
web常見的幾個漏洞
1. SQL注入
SQL注入攻擊是黑客對資料庫進行攻擊的常用手段之一。
2. XSS跨站點腳本
XSS是一種經常出現在web應用中的計算機安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。
3. 緩沖區溢出
緩沖區溢出漏洞是指在程序試圖將數據放到及其內存中的某一個位置的時候，因為沒有足夠的空間就會發生緩沖區溢出的現象。
4. cookies修改
即使 Cookie 被竊取，卻因 Cookie 被隨機更新，且內容無規律性，攻擊者無法加以利用。另外利用了時間戳另一大好處就是防止 Cookie 篡改或重放。
5. 上傳漏洞
這個漏洞在DVBBS6.0時代被黑客們利用的最為猖獗，利用上傳漏洞可以直接得到WEBSHELL，危害等級超級高，現在的入侵中上傳漏洞也是常見的漏洞。
6. 命令行注入
所謂的命令行輸入就是webshell 了，拿到了許可權的黑客可以肆意妄為。