A. 什麼是WEB漏洞如何防禦WEB攻擊漏洞
WEB漏洞通常是指網站程序上的漏洞，可能是由於代碼編寫者在編寫代碼時考慮不周全等原因而造成的漏洞，常見的WEB漏洞有sql注入、Xss漏洞、上傳漏洞等。防禦可從產生的原因上入手，比如規范代碼，寫出嚴謹的程序。
B. 常見36種WEB滲透測試漏洞描述及解決方法-不安全HTTP方法
漏洞描述：目標伺服器啟用不安全的傳輸方法，如PUT、TRACE、DELETE、MOVE等，這可能在伺服器上使用 WebDAV，由於DAV方法允許客戶端操縱伺服器上的文件，若沒有合理配置dav，有可能允許未授權的用戶利用其修改伺服器上的文件。
解決方法：
（1）關閉不安全的傳輸方法，推薦POST、GET方法。
（2）如果伺服器不需要支持 WebDAV，請務必禁用它。或者為允許webdav的目錄配置嚴格的訪問許可權，如認證方法，認證需要的用戶名，密碼。
C. Web應用常見的安全漏洞有哪些
OWASP總結了現有Web應用程序在安全方面常見的十大漏洞分別是：非法輸入、失效的訪問控制、失效的賬戶和線程管理、跨站腳本攻擊、緩存溢出問題、注入式攻擊、異常錯誤處理、不安全的存儲、程序拒絕服務攻擊、不安全的配置管理等。
非法輸入
Unvalidated Input
在數據被輸入程序前忽略對數據合法性的檢驗是一個常見的編程漏洞。隨著OWASP對Web應用程序脆弱性的調查，非法輸入的問題已成為大多數Web應用程序安全漏洞方面的一個普遍現象。
失效的訪問控制
Broken Access Control
大部分企業都非常關注對已經建立的連接進行控制，但是，允許一個特定的字元串輸入可以讓攻擊行為繞過企業的控制。
失效的賬戶和線程管理
Broken Authentication and Session Management
有良好的訪問控制並不意味著萬事大吉，企業還應該保護用戶的密碼、會話令牌、賬戶列表及其它任何可為攻擊者提供有利信息、能幫助他們攻擊企業網路的內容。
跨站點腳本攻擊
Cross Site Scripting Flaws
這是一種常見的攻擊，當攻擊腳本被嵌入企業的Web頁面或其它可以訪問的Web資源中，沒有保護能力的台式機訪問這個頁面或資源時，腳本就會被啟動，這種攻擊可以影響企業內成百上千員工的終端電腦。
緩存溢出問題
Buffer Overflows
這個問題一般出現在用較早的編程語言、如C語言編寫的程序中，這種編程錯誤其實也是由於沒有很好地確定輸入內容在內存中的位置所致。
注入式攻擊
Injection Flaws
如果沒有成功地阻止帶有語法含義的輸入內容，有可能導致對資料庫信息的非法訪問，在Web表單中輸入的內容應該保持簡單，並且不應包含可被執行的代碼。
異常錯誤處理
Improper Error Handling
當錯誤發生時，向用戶提交錯誤提示是很正常的事情，但是如果提交的錯誤提示中包含了太多的內容，就有可能會被攻擊者分析出網路環境的結構或配置。
不安全的存儲
Insecure Storage
對於Web應用程序來說，妥善保存密碼、用戶名及其他與身份驗證有關的信息是非常重要的工作，對這些信息進行加密則是非常有效的方式，但是一些企業會採用那些未經實踐驗證的加密解決方案，其中就可能存在安全漏洞。
程序拒絕服務攻擊
Application Denial of Service
與拒絕服務攻擊 (DoS)類似，應用程序的DoS攻擊會利用大量非法用戶搶占應用程序資源，導致合法用戶無法使用該Web應用程序。
不安全的配置管理
Insecure Configuration Management
有效的配置管理過程可以為Web應用程序和企業的網路架構提供良好的保護。
以上十個漏洞並不能涵蓋如今企業Web應用程序中的全部脆弱點，它只是OWASP成員最常遇到的問題，也是所有企業在開發和改進Web應用程序時應著重檢查的內容。
D. 怎樣預防web的執行順序缺陷漏洞的產生
方法/步驟
1
輸入校驗
大多數的安全漏洞是因為目標應用程序沒有正確地校驗輸入數據。所以，應用程序要考慮到所有惡意的輸入直到能證明其合法，這要涵蓋不可信環境中的所有數據。
輸入校驗是第一道防線，總體來講就是縮小應用程序允許輸入的范圍，它會直接作用在用戶提供的數據上。這種類型的防禦要依賴輸入參數在一個合法的范圍內，或者如果用戶提供了超出了范圍的值就會停止執行。在Web應用程序中，這首先要標准化輸入將其轉換到基線字元集和編碼。接下來，應用程序必須對標准化的輸入使用過濾策略，拒絕那些值在合法范圍之外的輸入。這種方式能夠避免很多Web應用程序中的問題，在執行輸入校驗時會使用正向模式匹配或正向校驗。在這種情況下，開發人員建立規則來識別那些可接受的輸入而不是識別有什麼輸入是不可接受的。盡管開發人員不能預測所有類型的攻擊，但他們應該能夠說明所有類型的合法輸入。
關鍵問題在於，輸入校驗通常使用地並不充分，這是因為輸入參數的數據域允許存在惡意數據，這是與校驗執行相獨立的。例如，在SQL注入漏洞中，大多數的SQL語句使用引號作為字元串分隔符，這就意味著黑客可以使用它來執行SQL注入攻擊。但是，在有些情況下，字元串輸入域必須允許存在引號值，所以應用程序不能排除所有包含引號的值。
2
熱點防護
任何類型的攻擊都是以熱點為目標的，熱點指的就是應用程序中可能會有某種類型漏洞的代碼。通用的輸入校驗會在應用程序中進行或者在整個Web應用程序上下文中修改輸入，與之相比，第二道防線關注於保護重要的熱點，例如保護那些真正使用輸入域值的代碼行。
一個具體的例子就是SQL注入攻擊，它們大多數會使用單引號或雙引號。有些編程語言提供了對這些字元的轉碼機制，這樣它們就能用在SQL語句中了，但是只能用來在語句中分隔值。4但是這些技術有兩個問題。第一，更高級的注入技術，例如聯合使用引號和轉義字元，可以繞過這些機制。第二，引入轉義字元會增加字元串的長度，如果結果字元串的長度超過資料庫限制的話，可能會導致數據截斷。
正確使用參數化命令是預防注入攻擊最有效的方式。1在這種情況下，開發人員定義命令的結構，並使用佔位符來代表命令的變數值。稍後，當應用程序將對應的值關聯到命令上時，命令解釋器會正確地使用它們而不會涉及到命令的結構。
這種技術最著名的用法是資料庫的預處理語句，也被稱為參數化查詢。4 當應用程序創建預處理語句時，語句發送到了資料庫端。應用程序使用佔位符來表示查詢的可變部分，佔位符通常會是問號或標簽。隨後，每次查詢執行時，應用程序都要往對應的可變部分綁定值。不管數據的內容是什麼，應用程序會一直使用這個表達式作為一個值而並沒有SQL代碼。因此，不可能修改查詢的結構。
為了確保正確使用數據，很多語言允許類型綁定。但是預處理語句本身並不能修復不安全的語句——開發人員必須正確地使用它們。例如，像傳統語句一樣使用預處理語句——也就是使用字元串拼接來綁定SQL查詢——而不是對查詢的可變部分使用佔位符會導致類似的漏洞。
3
輸出校驗
在將一個進程的輸出發送之前進行校驗能夠避免用戶收到他們不應該看到的信息，例如應用程序內部的異常細節，這些信息有助於發起其他的攻擊。在輸出校驗的另一個例子當中，保護系統會搜索應用程序輸出的關鍵信息，如信用卡號，並在發送給前端之前用星號代替。將信息編碼是能夠避免XSS漏洞的一種輸出校驗方式。如果發送給瀏覽器的數據要顯示在Web頁面上，它應該進行HTML編碼或百分號編碼，這取決於它在頁面的位置。通過這種方式，XSS所用的惡意字元不再具有破壞性，而且編碼會保留數據的原來意義。
E. 常見36種WEB滲透測試漏洞描述及解決方法-敏感信息泄露
漏洞描述：在頁面中或者返回的響應包中泄露敏感信息，通過這些信息可進一步滲透。
解決方法：
建議刪除探針或測試頁面等無用程序，或修改不易被猜到的名字；
禁用泄露敏感信息的頁面或應用；
模糊化處理敏感信息；
對伺服器端返回的數據嚴格檢查，滿足查詢數據與頁面顯示數據一致，切勿返回多餘數據。
F. web 應用的常見 漏洞有哪些
web常見的幾個漏洞
1. SQL注入
SQL注入攻擊是黑客對資料庫進行攻擊的常用手段之一。
2. XSS跨站點腳本
XSS是一種經常出現在web應用中的計算機安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。
3. 緩沖區溢出
緩沖區溢出漏洞是指在程序試圖將數據放到及其內存中的某一個位置的時候，因為沒有足夠的空間就會發生緩沖區溢出的現象。
4. cookies修改
即使 Cookie 被竊取，卻因 Cookie 被隨機更新，且內容無規律性，攻擊者無法加以利用。另外利用了時間戳另一大好處就是防止 Cookie 篡改或重放。
5. 上傳漏洞
這個漏洞在DVBBS6.0時代被黑客們利用的最為猖獗，利用上傳漏洞可以直接得到WEBSHELL，危害等級超級高，現在的入侵中上傳漏洞也是常見的漏洞。
6. 命令行注入
所謂的命令行輸入就是webshell 了，拿到了許可權的黑客可以肆意妄為。
G. web伺服器軟體的安全漏洞有哪些各自有哪些危害
系統漏洞會影響到的范圍很大，包括系統本身及其支撐軟體，網路客戶和伺服器軟體，網路路由器和安全防火牆等。
騰訊電腦管家可以修復Windows操作系統漏洞，還可以智能篩選區分出高危漏洞補丁及功能性補丁，操作方法：騰訊電腦管家-工具箱-選擇「修復漏洞」。
H. web伺服器上的漏洞主要有
1、系統漏洞，例如系統許可權太寬松、有危險的服務未關閉
2、網站漏洞，SQL注入，在線上傳等等
3、軟體漏洞，例如sql server等
建議你找【護衛神】做下安全加固，他們家的入侵防護系統很不錯。專門防禦web伺服器安全。
I. Web應用常見的安全漏洞有哪些
Web應用常見的安全漏洞：
1、SQL注入
注入是一個安全漏洞，允許攻擊者通過操縱用戶提供的數據來更改後端SQL語句。當用戶輸入作為命令或查詢的一部分被發送到解釋器並且欺騙解釋器執行非預期的命令並且允許訪問未授權的數據時，發生注入。
2、跨站腳本攻擊 （XSS）
XSS漏洞針對嵌入在客戶端（即用戶瀏覽器而不是伺服器端）的頁面中嵌入的腳本。當應用程序獲取不受信任的數據並將其發送到Web瀏覽器而未經適當驗證時，可能會出現這些缺陷。
3、跨站點請求偽造
CSRF攻擊是指惡意網站，電子郵件或程序導致用戶的瀏覽器在用戶當前已對其進行身份驗證的受信任站點上執行不需要的操作時發生的攻擊。
4、無法限制URL訪問
Web應用程序在呈現受保護的鏈接和按鈕之前檢查URL訪問許可權 每次訪問這些頁面時，應用程序都需要執行類似的訪問控制檢查。通過智能猜測，攻擊者可以訪問許可權頁面。攻擊者可以訪問敏感頁面，調用函數和查看機密信息。
5、不安全的加密存儲
不安全的加密存儲是一種常見的漏洞，在敏感數據未安全存儲時存在。用戶憑據，配置文件信息，健康詳細信息，信用卡信息等屬於網站上的敏感數據信息。
(9)web漏洞損失擴展閱讀
web應用漏洞發生的市場背景：
由於Web伺服器提供了幾種不同的方式將請求轉發給應用伺服器，並將修改過的或新的網頁發回給最終用戶，這使得非法闖入網路變得更加容易。
許多程序員不知道如何開發安全的應用程序。他們的經驗也許是開發獨立應用程序或Intranet Web應用程序，這些應用程序沒有考慮到在安全缺陷被利用時可能會出現災難性後果。
許多Web應用程序容易受到通過伺服器、應用程序和內部已開發的代碼進行的攻擊。這些攻擊行動直接通過了周邊防火牆安全措施，因為埠80或443（SSL，安全套接字協議層）必須開放，以便讓應用程序正常運行。
J. web安全漏洞有哪些
web常見的幾個漏洞
1. SQL注入。SQL注入攻擊是黑客對資料庫進行攻擊的常用手段之一。
2. XSS跨站點腳本。XSS是一種經常出現在web應用中的計算機安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。
3. 緩沖區溢出。緩沖區溢出漏洞是指在程序試圖將數據放到及其內存中的某一個位置的時候，因為沒有足夠的空間就會發生緩沖區溢出的現象。
4. cookies修改。即使 Cookie 被竊取，卻因 Cookie 被隨機更新，且內容無規律性，攻擊者無法加以利用。另外利用了時間戳另一大好處就是防止 Cookie 篡改或重放。
5. 上傳漏洞。這個漏洞在DVBBS6.0時代被黑客們利用的最為猖獗，利用上傳漏洞可以直接得到WEBSHELL，危害等級超級高，現在的入侵中上傳漏洞也是常見的漏洞。
6. 命令行輸入。就是webshell ，拿到了許可權的黑客可以肆意妄為。