----注入缺陷(Injection Flaws)注入缺陷是经典的由于过滤不受信任的输入的失败造成的.当我们将未过滤的数据传递到SQL服务器(SQL 注入)/浏览器(通过跨站脚本)/LDAP 服务器(LDAP...,用户的浏览器将执行它.这是一个相当普遍的过滤失败,(本质上是注射缺陷).例如:在页面加载时,脚本将运行并用于某些权限的cookie发送给攻击者.预防将一些HTML标签转为实体.如:转为...,攻击者现在可以使用它下载系统文件(例如,网站代码或服务器数据:如备份)等.不安全的直接对象引用漏洞的另一个例子是密码重置函数,该函数依赖用户输入来确定其身份.单击有效的URL后,攻击者可以修改URL中的字段...,使其显示类似"admin"用户名的内容预防使用内部代码执行,不要使用外部参数来执行安全配置错误遇到配置错误的服务器和网站是很常见的,例如:在生产环境中运行启用了调试程序在服务器上启用目录列表(可能泄露某些私密信息...amount=100&Account=67890 width=0 height=0 />当B下次访问网站时,浏览器错误地认为片段链接到图像.浏览器会自动发出获取图片的请求.但是,该请求没有在浏览器中显示图像