1. 需要考虑的web安全问题具体有哪些
1、来自服务器本身及网络环境的安全，这包括服务器系统漏洞，系统权限，网络环境（如ARP等）专、网属络端口管理等，这个是基础。
2、来自WEB服务器应用的安全，IIS或者Apache等，本身的配置、权限等，这个直接影响访问网站的效率和结果。
3、网站程序的安全，这可能程序漏洞，程序的权限审核，以及执行的效率，这个是WEB安全中占比例非常高的一部分。
4、WEB Server周边应用的安全，一台WEB服务器通常不是独立存在的，可能其它的应用服务器会影响到WEB服务器的安全，如数据库服务、FTP服务等。
2. 阐述解决Web应用程序安全问题的基本策略
Web站点的安全有可能是当今保障企业安全技术中最容易被忽视的领域，
各种各样的攻击已经证明Web应用程序的安全是极为关键的。如果你的Web应用程序受到了破坏，那么黑客们将完全可以访问你的后端数据，即使你的防火墙配置正确，而且即使你的操作系统和应用程序经常打补丁！
网络安全防御并没有针对Web应用程序的攻击提供安全保护，因为这些攻击是在80号端口（Web站点的默认端口）上发动的，而这些端口必须保持开放性以允许企业网站的正常操作。
为了实现最广泛的安全策略，你定期地、一致地审核Web应用程序的可能被利用的漏洞势在必行。
3. web服务器可能存在的安全问题有哪些
1、来自服务器本身及网络环境的安全，这包括服务器系统漏洞，系统权限，网络环境（如ARP等）专、网属络端口管理等，这个是基础。
2、来自WEB服务器应用的安全，IIS或者Apache等，本身的配置、权限等，这个直接影响访问网站的效率和结果。
3、网站程序的安全，这可能程序漏洞，程序的权限审核，以及执行的效率，这个是WEB安全中占比例非常高的一部分。
4、WEB Server周边应用的安全，一台WEB服务器通常不是独立存在的，可能其它的应用服务器会影响到WEB服务器的安全，如数据库服务、FTP服务等。
4. 通常可能带来Web站点上的安全问题有哪些
1，给web服务端带了的问题：
a，SQL注入，组要是由web代码和数据库交互时候导致的。不过这个问题可以通过一些框架可以方便的解决，如java的ibatis或者mybatis框架。
b，web服务器配置错误，如开启了put，delete方法。这些可以通过修对应的web服务器配置解决，如apache，iis的配置。
c，web应用服务器的错误配置，如jboss，tomcat的配置。同样适用安全的配置方法可以解决。
d，web应用代码逻辑导致的问题，如上次漏洞，系统命令注入漏洞，url跳转漏洞，等等。
2，给客户端带来的问题。
a，XSS
b，CSRF
d，url跳转。
5. 针对web应用存在哪些安全威胁提出相应的安全防护措施
应用安全防护解决思路：应用安全问题本质上源于软件质量问题。但应用相较传统的软件，具有其独特性。应用往往是某个机构所独有的应用，对其存在的漏洞，已知的通用漏洞签名缺乏有效性；需要频繁地变更以满足业务目标，从而使得很难维持有序的开发周期；需要全面考虑客户端与服务端的复杂交互场景，而往往很多开发者没有很好地理解业务流程；人们通常认为开发比较简单，缺乏经验的开发者也可以胜任。针对应用安全，理想情况下应该在软件开发生命周期遵循安全编码原则，并在各阶段采取相应的安全措施。然而，多数网站的实际情况是：大量早期开发的应用，由于历史原因，都存在不同程度的安全问题。对于这些已上线、正提供生产的应用，由于其定制化特点决定了没有通用补丁可用，而整改代码因代价过大变得较难施行或者需要较长的整改周期。针对这种现状，专业的安全防护工具是一种合理的选择。应用防火墙（以下简称）正是这类专业工具，提供了一种安全运维控制手段：基于对流量的双向分析，为应用提供实时的防护。与传统防火墙设备相比较，最显着的技术差异性体现在：对有本质的理解：能完整地解析，包括报文头部、参数及载荷。支持各种编码（如、压缩）；提供严格的协议验证；提供限制；支持各类字符集编码；具备过滤能力。提供应用层规则：应用通常是定制化的，传统的针对已知漏洞的规则往往不够有效。提供专用的应用层规则，且具备检测变形攻击的能力，如检测加密流量中混杂的攻击。提供正向安全模型（白名单）：仅允许已知有效的输入通过，为应用提供了一个外部的输入验证机制，安全性更为可靠。提供会话防护机制：协议最大的弊端在于缺乏一个可靠的会话管理机制。为此进行有效补充，防护基于会话的攻击类型，如篡改及会话劫持攻击。如何正确选择并非对服务器提供保护的“盒子”都是。事实上，一个真正满足需求的应该具有二维的防护体系：纵向提供纵深防御：通过建立协议层次、信息流向等纵向结构层次，构筑多种有效防御措施阻止攻击并发出告警。横向：满足合规要求；缓解各类安全威胁（包括网络层面、基础架构及应用层面）；降低服务响应时间、显着改善终端用户体验，优化业务资源和提高应用系统敏捷性。在选择产品时，建议参考以下步骤：结合业务需求明确安全策略目标，从而定义清楚产品必须具备的控制能力评估每一家厂商产品可以覆盖的风险类型测试产品功能、性能及可伸缩性评估厂商的技术支持能力评估内部维护团队是否具备维护、管理产品的必需技能权衡安全、产出以及总成本。“成本”不仅仅意味着购买安全产品服务产生的直接支出，还需要考虑是否影响组织的正常业务、是否给维护人员带来较大的管理开销
6. 要想实现web应用安全有哪些防御措施呢
传统的方式目前已经存在了一些不足，比如对http流量或者https流量进行检测，并不能够完全解决用户应用层或者Web层的安全问题。同时，要想实现web应用安全并不需要只是简单的基于协议本身进行防御，而更多的是要基于逻辑、基于行为、基于流程进行防御。我比较推荐的是F5公司的产品，不仅能够解决传统WAF要解决的XSS,SQL注入这样的代码及漏洞，还能关注到像暴库、爆破，像利用被偷盗的用户凭证进行登陆的这样的行为，包括对七层DDoS进行防御的行为。最重要的是，F5的防御方案从原来基于网络串联部署的设备，基于协议本身的分析，要变得更加智能，要变得更加的具有控制力。关于web应用安全，F5官网上有更为详细的介绍，不妨多关注一下。
7. web的安全威胁有哪几个方面
1、来自服务器本身及网络环境的安全，这包括服务器系统漏洞，系统权限，网络环境（如ARP等）、网络端口管理等，这个是基础。
2、来自WEB服务器应用的安全，IIS或者Apache等，本身的配置、权限等，这个直接影响访问网站的效率和结果。
3、网站程序的安全，这可能程序漏洞，程序的权限审核，以及执行的效率，这个是WEB安全中占比例非常高的一部分。
4、WEB Server周边应用的安全，一台WEB服务器通常不是独立存在的，可能其它的应用服务器会影响到WEB服务器的安全，如数据库服务、FTP服务等。
这只是大概说了一下，关于WEB应用服务器的安全从来都不是一个独立存在的问题。
web常见的几个漏洞
1. SQL注入。SQL注入攻击是黑客对数据库进行攻击的常用手段之一。
2. XSS跨站点脚本。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。
3. 缓冲区溢出。缓冲区溢出漏洞是指在程序试图将数据放到及其内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出的现象。
4. cookies修改。即使 Cookie 被窃取，却因 Cookie 被随机更新，且内容无规律性，攻击者无法加以利用。另外利用了时间戳另一大好处就是防止 Cookie 篡改或重放。
5. 上传漏洞。这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。
6. 命令行输入。就是webshell ，拿到了权限的黑客可以肆意妄为。
8. 作为一个WEB应用开发程序员,在WEB应用开发过程中要注意哪些安全问题
SQL注入攻击，XSS脚本攻击，URL页面传参<例如：window.location.href='index.aspx?id=1'>，缓存的应用<防止读脏数据，未更新的数据>
解决方法：
SQL注入攻击：通过对输入内容的检测，例如：检测关键字，即查看输入的内容里面是不是有Update insert select Delete 等关键字！
XSS脚本攻击：检测输入内容输入内容是否含有< > <script> <p> <a> 等HTML标记！
参数攻击：直接在URL中更换参数，查看一些自己没有权限查看的内容！即所谓的跨权限查看。
缓存的应用：使用缓存，就应该及时更新缓存，以防止读旧数据，脏数据等，也可以使用缓存替换技术！等等等吧！好多呢！ca
9. Web应用常见的安全漏洞有哪些
OWASP总结了现有Web应用程序在安全方面常见的十大漏洞分别是：非法输入、失效的访问控制、失效的账户和线程管理、跨站脚本攻击、缓存溢出问题、注入式攻击、异常错误处理、不安全的存储、程序拒绝服务攻击、不安全的配置管理等。
非法输入
Unvalidated Input
在数据被输入程序前忽略对数据合法性的检验是一个常见的编程漏洞。随着OWASP对Web应用程序脆弱性的调查，非法输入的问题已成为大多数Web应用程序安全漏洞方面的一个普遍现象。
失效的访问控制
Broken Access Control
大部分企业都非常关注对已经建立的连接进行控制，但是，允许一个特定的字符串输入可以让攻击行为绕过企业的控制。
失效的账户和线程管理
Broken Authentication and Session Management
有良好的访问控制并不意味着万事大吉，企业还应该保护用户的密码、会话令牌、账户列表及其它任何可为攻击者提供有利信息、能帮助他们攻击企业网络的内容。
跨站点脚本攻击
Cross Site Scripting Flaws
这是一种常见的攻击，当攻击脚本被嵌入企业的Web页面或其它可以访问的Web资源中，没有保护能力的台式机访问这个页面或资源时，脚本就会被启动，这种攻击可以影响企业内成百上千员工的终端电脑。
缓存溢出问题
Buffer Overflows
这个问题一般出现在用较早的编程语言、如C语言编写的程序中，这种编程错误其实也是由于没有很好地确定输入内容在内存中的位置所致。
注入式攻击
Injection Flaws
如果没有成功地阻止带有语法含义的输入内容，有可能导致对数据库信息的非法访问，在Web表单中输入的内容应该保持简单，并且不应包含可被执行的代码。
异常错误处理
Improper Error Handling
当错误发生时，向用户提交错误提示是很正常的事情，但是如果提交的错误提示中包含了太多的内容，就有可能会被攻击者分析出网络环境的结构或配置。
不安全的存储
Insecure Storage
对于Web应用程序来说，妥善保存密码、用户名及其他与身份验证有关的信息是非常重要的工作，对这些信息进行加密则是非常有效的方式，但是一些企业会采用那些未经实践验证的加密解决方案，其中就可能存在安全漏洞。
程序拒绝服务攻击
Application Denial of Service
与拒绝服务攻击 (DoS)类似，应用程序的DoS攻击会利用大量非法用户抢占应用程序资源，导致合法用户无法使用该Web应用程序。
不安全的配置管理
Insecure Configuration Management
有效的配置管理过程可以为Web应用程序和企业的网络架构提供良好的保护。
以上十个漏洞并不能涵盖如今企业Web应用程序中的全部脆弱点，它只是OWASP成员最常遇到的问题，也是所有企业在开发和改进Web应用程序时应着重检查的内容。
10. web 应用的常见 漏洞有哪些
web常见的几个漏洞
1. SQL注入
SQL注入攻击是黑客对数据库进行攻击的常用手段之一。
2. XSS跨站点脚本
XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。
3. 缓冲区溢出
缓冲区溢出漏洞是指在程序试图将数据放到及其内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出的现象。
4. cookies修改
即使 Cookie 被窃取，却因 Cookie 被随机更新，且内容无规律性，攻击者无法加以利用。另外利用了时间戳另一大好处就是防止 Cookie 篡改或重放。
5. 上传漏洞
这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。
6. 命令行注入
所谓的命令行输入就是webshell 了，拿到了权限的黑客可以肆意妄为。