1：SQL注入
把SQL命令插入Web表单提交或者输入域名或者页面请求的查询字符串
2：XSS跨网站攻击
注：程序或数据库没有对一些特殊字符进行过滤或处理，导致用户
所输入的一些破坏性的脚本语句能够直接写进数据库中，浏览器会直接执行这些脚本语句，破坏网站的正常显示，或网站用户的信息被盗,构造脚本语句时，要保证脚本的完整性。
2.1：基本的JS脚本：
document.write("abc")
<script>alert("XSS");</script>
HTML 标签中
"<" -> "<" 、">" -> ">"、"'" -> "'"、""" -> """、"&"->"&"
onclick等事件属性中
"<" -> "<" 、">" -> ">"、"'" -> "$#39"、""" -> """
"\"-> "\" 、"/" -> "\/"
2.2：URL地址后面录入一些特殊符号目的进行数据库攻击
1）注入参数是字符’and [查询条件] and ‘’=’
2）搜索时没有过滤参数的 ‘and [查询条件] and ‘%25’=’
3）猜数据库：;and (Select Count(*) from [数据库名])>0
4）猜字段：;and (Select Count(字段名) from 数据库名)>0
5）遍历目录：;create table dirs(paths varchar(100), id int)
;insert dirs exec master.dbo.xp_dirtree 'c:\'
;and (select top 1 paths from dirs)>0
;and (select top 1 paths from dirs where paths not
in('上一步的路劲'))>)
（6）：网页不停地刷新 <meta http-equiv="refresh" content="0;">
（7）：嵌入其它网站的链接 <iframe src=http://xxxx width=250 height=250></iframe>
"'" -> "%27"、""" -> "%22"、"<" -> "%3C"、">" -> "%3E"、"/" -> "%2F"、"\" -> "%5C"、
"+" -> "%2B"、" " -> "%20"、"/" -> "%2F"、"?" -> "%3F"、"#" -> "%23"、"&" -> "%26"、
"%" -> "%25"、"=" -> "%3D"
3：账户越权
3.1：横向越权：非法获取同类用户权限
注：只隐藏URL未判断访问权限，再用户认证后只显示给用户认证过的页面和菜单选项，实际上这些仅仅是标识层的控制而不能真正生效，攻击者能够很容易的就伪造请求直接访问未被授权的页面
3.2：纵向越权：非法获取管理员或特权用户权限
4：URL传参篡改
5：重复提交请求限制
重复提交限制，恶意攻击者可能利用此漏洞对网站进行批量灌水至网站瘫痪
6：web应用系统是否有超时限制
用户登录后再一定时间内没有操作任何页面，是否要重新登录才能正常使用
7：敏感信息加密正确性
8：安全测试工具（BurpLoader.jar）
8.1：火狐插件：hackbar
https://addons.mozilla.org/en-US/firefox/addon/hackbar/
安装完毕 按F9 操作
8.2：
步骤：前提java环境变量要配置正确，火狐已设置代理
【第一步：下载安装JDK
1 下载下来后进行安装，安装地址到E:\
2. 然后让你选择独立的JRE（Java Runtime Environment，Java运行环境），
安装到：C:\Program Files\Java\jdk1.8.0_121\
3 然后一直next，安装完成。
第二步：配置Java环境
1． 桌面-计算机-属性-高级系统设置-环境变量-系统变量
添加：JAVA_HOME C:\Program Files\Java\jdk1.8.0_121
（对应刚才安装地址)
编辑：Path
C:\ProgramFiles\Java\jdk1.8.0_121\bin;C:\ProgramData\Oracle\Java\javapath;%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\
（注意：此处的变量和地址一个标点符号都不能错不能少）
2. windows键+R - 输入cmd(大小写都可)-调出dos窗口
-输入java-version可查看java版本（说明java环境配置成功）
】
1：先双击安装burpsuite.jar，点击临时版本---》next---》startburp
2：Proxy---》Options---》勾选默认127.0.0.1的代理（注：无法勾选请变更端口号）
3：设置火狐浏览器的代理：选项---高级---网络---设置，IP&端口号与burpsuite保持一致
4：运行时Proxy----Intercept----intercept is on（打开拦截当开始拦截时，点击关闭）
5：查看每步请求，点击查看Raw下面的参数，修改---Forward