1：SQL注入
把SQL命令插入Web表單提交或者輸入域名或者頁面請求的查詢字符串
2：XSS跨網站攻擊
注：程序或數據庫沒有對一些特殊字符進行過濾或處理，導致用戶
所輸入的一些破壞性的腳本語句能夠直接寫進數據庫中，瀏覽器會直接執行這些腳本語句，破壞網站的正常顯示，或網站用戶的信息被盜,構造腳本語句時，要保證腳本的完整性。
2.1：基本的JS腳本：
document.write("abc")
<script>alert("XSS");</script>
HTML 標簽中
"<" -> "<" 、">" -> ">"、"'" -> "'"、""" -> """、"&"->"&"
onclick等事件屬性中
"<" -> "<" 、">" -> ">"、"'" -> "$#39"、""" -> """
"\"-> "\" 、"/" -> "\/"
2.2：URL地址后面錄入一些特殊符號目的進行數據庫攻擊
1）注入參數是字符’and [查詢條件] and ‘’=’
2）搜索時沒有過濾參數的 ‘and [查詢條件] and ‘%25’=’
3）猜數據庫：;and (Select Count(*) from [數據庫名])>0
4）猜字段：;and (Select Count(字段名) from 數據庫名)>0
5）遍歷目錄：;create table dirs(paths varchar(100), id int)
;insert dirs exec master.dbo.xp_dirtree 'c:\'
;and (select top 1 paths from dirs)>0
;and (select top 1 paths from dirs where paths not
in('上一步的路勁'))>)
（6）：網頁不停地刷新 <meta http-equiv="refresh" content="0;">
（7）：嵌入其它網站的鏈接 <iframe src=http://xxxx width=250 height=250></iframe>
"'" -> "%27"、""" -> "%22"、"<" -> "%3C"、">" -> "%3E"、"/" -> "%2F"、"\" -> "%5C"、
"+" -> "%2B"、" " -> "%20"、"/" -> "%2F"、"?" -> "%3F"、"#" -> "%23"、"&" -> "%26"、
"%" -> "%25"、"=" -> "%3D"
3：賬戶越權
3.1：橫向越權：非法獲取同類用戶權限
注：只隱藏URL未判斷訪問權限，再用戶認證后只顯示給用戶認證過的頁面和菜單選項，實際上這些僅僅是標識層的控制而不能真正生效，攻擊者能夠很容易的就偽造請求直接訪問未被授權的頁面
3.2：縱向越權：非法獲取管理員或特權用戶權限
4：URL傳參篡改
5：重復提交請求限制
重復提交限制，惡意攻擊者可能利用此漏洞對網站進行批量灌水至網站癱瘓
6：web應用系統是否有超時限制
用戶登錄后再一定時間內沒有操作任何頁面，是否要重新登錄才能正常使用
7：敏感信息加密正確性
8：安全測試工具（BurpLoader.jar）
8.1：火狐插件：hackbar
https://addons.mozilla.org/en-US/firefox/addon/hackbar/
安裝完畢 按F9 操作
8.2：
步驟：前提java環境變量要配置正確，火狐已設置代理
【第一步：下載安裝JDK
1 下載下來后進行安裝，安裝地址到E:\
2. 然后讓你選擇獨立的JRE（Java Runtime Environment，Java運行環境），
安裝到：C:\Program Files\Java\jdk1.8.0_121\
3 然后一直next，安裝完成。
第二步：配置Java環境
1． 桌面-計算機-屬性-高級系統設置-環境變量-系統變量
添加：JAVA_HOME C:\Program Files\Java\jdk1.8.0_121
（對應剛才安裝地址)
編輯：Path
C:\ProgramFiles\Java\jdk1.8.0_121\bin;C:\ProgramData\Oracle\Java\javapath;%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\
（注意：此處的變量和地址一個標點符號都不能錯不能少）
2. windows鍵+R - 輸入cmd(大小寫都可)-調出dos窗口
-輸入java-version可查看java版本（說明java環境配置成功）
】
1：先雙擊安裝burpsuite.jar，點擊臨時版本---》next---》startburp
2：Proxy---》Options---》勾選默認127.0.0.1的代理（注：無法勾選請變更端口號）
3：設置火狐瀏覽器的代理：選項---高級---網絡---設置，IP&端口號與burpsuite保持一致
4：運行時Proxy----Intercept----intercept is on（打開攔截當開始攔截時，點擊關閉）
5：查看每步請求，點擊查看Raw下面的參數，修改---Forward