注入后端HTTP请求
注入HTTP后端请求影城程序可能会将用户输入嵌入任何类型的后端HTTP请求，包括哪些以常规名/值对传输参数的请求。由于应用程序通常会有效代理用户提交的UTL和参数，因而这种行为往往易于受到攻击。针对这种功能的攻击可以分为以下类别：
服务端HTTP重新向：攻击者可以通过这种方式制定任意资源
...
注入XPath
注入XPathXPath（XML路径语言）是一种利用与导航XML文档并从中获取数据的解释型语言。许多时候一个XPath表达式代表由一个文档节点导航到另一个文档节点所需要的一系列步骤。
如果Web应用程序将数据保存在XML文档中，那么它们可能使用XPath访问数据，以响应用户提交的输入。如果这个输入未
...
注入LDAP
注入LDAPLDAP（LightWeight Directory Access Protocol， 轻量级目录访问协议）用于访问网络中的目录服务。目录是一个分级结构的数据存储区，其中可能包含任何类型的信息，但常用于保存个人信息，如姓名、电话号码、电子邮件地址和工作职能等。Windows域中使用的Ac
...
注入NoSql
注入NoSql术语NoSQL用于指各种不同于标准的关系数据库体系架构的数据存储区。NoSQL数据存储区呈现使用键/值映射的数据，并且不依赖于固定的方案，如传统的数据库表。键和值可以任意定义，而且值的格式通常与数据存储区无关。键/值存储的另一个特点在于，值可能为数据结构本身，因而可
...
注入sql
注入SQL数据库中的信息通过SQL（Structured Query Language，结构化查询语言）访问。SQL可用于读取、更新、增加或删除数据库中保存的信息。
SQL是一种解释型语言，Web应用程序经常建立合并用户提交的数据的SQL语句。因此，如果建立语句的方法不安全，那么应用程序可能易于受到
...
注入解释型语言
攻击数据存储注入解释性语言解释性语言（interpreted language）是一种在运行时有一个运行时组件（runtime component）解释语言代码并执行其中包含的指令的语言。与之相对，编译型语言（compiled language）是这样一种语言：它的代码在生成时转换成机器指令，然后在
...
攻击数据存储区
攻击数据存储几乎所有应用程序都依赖数据存储区来管理在应用程序中处理的数据。在许多情况下，这些数据负责处理核心应用程序逻辑、保存用户账户、权限。应用程序配置设置等。现在数据存储区已不再是被动的数据容器。大多数数据存储区都保存有结构化、可以使用预先定义的查询格式或语言访问的数据，并包含内部逻辑来管理这些
...
攻击访问控制
攻击访问控制访问控制漏洞的概念非常简单：应用程序允许攻击者执行某种攻击者没有资格执行的操作。
访问控制可分为三大类：垂直访问控制、水平访问控制和上下文访问控制。
垂直访问控制允许各种类型的用户访问应用程序的不同功能。在最简单的情况下，应用程序通过这种控制界定普通用户和管理员。在更加复杂的情况下，垂直
...
攻击会话管理
攻击会话管理会话和CookieHTTP协议没有状态。它基于一种简单的请求-响应模型，其中美队消息代表一个独立的事务。协议本身并无将某位用户提出的各种请求联系起来的机制，并将它们与Web服务器收到的其他所有请求区分开来。
绝大多数的Web“站点”实际为Web应用程序。它们允许用户注册于与登录；帮助用户
...
HTTP相关
HTTPHTTP(HyperText Transfer Protocol, 超文本传输协议)是访问万维网使用的核心通信协议。也是今天所有Web应用程序使用的通信协议。最初，HTTP只是一个为获取基于文本的静态资源而开发的简单协议，后来人们以各种形式扩展和利用它，时期能够支持如今常见的复杂分布式应用程
...