网站漏洞有哪些

常见的网站安全漏洞有：一、SQL注入漏洞；二、XSS跨站脚本攻击漏洞；三、文件上传漏洞；四、目录遍历漏洞；五、admin密码漏洞；六、请求伪造漏洞；七、权限审阅漏洞。关于网站漏洞的具体内容我们将在文章中展开。

一、SQL注入漏洞

此类漏洞是人人皆知的漏洞，黑客可以利用该漏洞得到管理员的账号和密码，或者直接控制服务器。该漏洞目前在小型网站还比较多，尤其是学校网站里学生建设的一些网站。入侵此类漏洞只需要用一些SQl注入工具即可。

二、XSS跨站脚本攻击漏洞

跨站脚本攻击（XSS，Cross-site ing）是最常见和基本的攻击Web网站的方法。攻击者可以在网页上发布包含攻击性代码的数据，当浏览者看到此网页时，特定的脚本就会以浏览者用户的身份和权限来执行。通过XSS可以比较容易地修改用户数据、窃取用户信息以及造成其它类型的攻击，例如：CSRF攻击。恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。

三、文件上传漏洞

文件上传漏洞是指用户上传了一个可执行的脚本文件，并通过此脚本文件获得了执行服务器端命令的能力。这种攻击方式是最为直接和有效的，“文件上传”本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。

四、目录遍历漏洞

这个漏洞不常见，但是也是有的，该漏洞允许浏览者直接在浏览器里浏览和下载网站的文件，导致网站结构，网站文件，甚至数据库轻易的被黑客搞到。造成此类漏洞的原因是服务器管理员的疏忽。该漏洞入侵主要是得到数据库的地址，用下载工具下载，并得到管理员账号。防止漏洞的方法就是服务器管理员取消网站目录遍历的权限。

五、admin密码漏洞

很多网站建设者都喜欢把默认管理员账号设成asmin，密码一般是admin、123456、111111等比较常见的密码。但是很多管理员并不去修改密码，下次你看见登陆页面时不妨试试，有可能就能登陆上去。防止这种漏洞方法就是及时修改密码，把密码设的难一些。

六、请求伪造漏洞

1）CSRF漏洞（Cross-site request forgery）跨站请求伪造

CSRF攻击是源于WEB的隐式身份验证机制！WEB的身份验证机制虽然可以保证一个请求是来自于某个用户的浏览器，但却无法保证该请求是用户批准发送的

处理方法：

（1）客户端页面增加伪随机数。因为攻击者不能获得第三方的Cookie(理论上)，所以表单中的数据也就构造失败了；

（2）请求referrer验证；

（3）方法1已经能解决99%的csrf攻击了，由于用户的Cookie很容易由于网站的XSS漏洞而被盗取，那就是验证码。每次表单提交输入验证码。

2）json-hijacking漏洞

CGI（common gateway interface）公共网关接口 （HTTP服务器与你的或其它机器上的程序进行“交谈”的一种工具，其程序须运行在网络服务器上）以JSON形式输出数据，黑客控制的开发者站点以CSRF手段强迫用户浏览器请求CGI得到JSON数据，黑客可以获取敏感信息。

修复方法和 CSRF漏洞一样。

七、权限审阅漏洞

我们知道一般人是不允许访问管理员操作页面的，于是有写网站就把管理员页面的连接去掉，只有知道连接的人才能进入页面，但是现在网上有很多工具能检查到你的管理员页面，直接用浏览器打开，奇迹出现了，没有提示让输入密码，直接可以操作了。这就是权限审阅的漏洞。这个漏洞也是我认为最低级的漏洞，造成这样漏洞的原因是网站建设者的疏忽，或者是水平不高造成的。当然这个漏洞不多见，但是绝对有，我见多好几个了。防止该漏洞就方法就是进入管理员页面时要检查是不是管理员的权限。