攻擊類型

說明

SQL注入

SQL注入是一種通過將惡意SQL代碼注入到查詢語句中，來操縱數據庫執行攻擊者希望的操作的攻擊方式。

跨站腳本（XSS）

跨站腳本（XSS）攻擊是一種通過在網頁中嵌入惡意腳本，使其他用戶在瀏覽網頁時執行這些腳本的攻擊方式。

代碼執行

代碼執行攻擊是指利用注入的惡意代碼，使服務器執行這些代碼，從而實現攻擊目的。

CRLF注入

一種通過在HTTP頭部插入回車符（CR, \r）和換行符（LF, \n），以操縱HTTP響應或進行HTTP響應分割攻擊（HTTP Response Splitting）的攻擊方式。

本地文件包含（LFI）

是指當服務器開啟allow_url_include選項時，就可以通過PHP的某些特性函數（include()，require()和include_once()，requir_once()）利用URL去動態包含文件，此時如果沒有對文件來源進行嚴格審查，就會導致任意文件讀取或者任意命令執行。

遠程文件包含（RFI）

遠程文件包含（RFI）攻擊通過包含遠程服務器上的文件，使得攻擊者能夠在本地服務器上執行遠程惡意代碼。

Webshell

Webshell是一種惡意腳本文件，通過上傳或注入這些文件，攻擊者可以遠程控制服務器。

OS命令注入

操作系統命令注入攻擊通過在程序中嵌入惡意操作系統命令，使服務器執行這些命令，從而實現攻擊目的。

掃描器行為

這通常指的是Web應用程序掃描器的行為和特點。這些工具自動化地掃描Web應用以發現潛在的安全漏洞。它們定位常見的漏洞如SQL注入、跨站腳本（XSS）等，通過生成并發送大量請求來分析應用的響應。

業務邏輯缺陷

業務邏輯缺陷是應用程序在實現其業務流程時存在的漏洞。這些漏洞通常不能通過傳統的輸入驗證和輸出編碼來防御。它們可能允許攻擊者通過操縱應用程序的正常工作流程來實現未授權訪問或其他惡意行為。

任意文件讀取

任意文件讀取漏洞允許攻擊者讀取系統上任何文件，通常通過HTTP請求中的文件路徑參數。利用這種漏洞，攻擊者可以訪問敏感信息，如配置文件、憑證和個人數據。

任意文件下載

任意文件下載漏洞類似于任意文件讀取，但它專注于允許攻擊者下載系統上的任意文件。這可能導致敏感信息泄露，甚至使攻擊者獲取系統的完整備份以進行脫機分析。

外部實體注入

XXE漏洞利用XML解析器在解析外部實體時的特性，允許攻擊者讀取系統文件、執行服務器端請求（SSRF）或導致拒絕服務（DoS）。這種攻擊通常通過包含惡意外部實體的XML輸入實現。

跨站請求偽造

CSRF攻擊通過欺騙認證用戶向Web應用程序發送未經授權的請求來執行惡意操作。通常，攻擊者會誘騙用戶點擊惡意鏈接或訪問惡意網頁，從而在用戶的身份下執行某些操作，如更改設置或提交表單。

表達式注入

表達式注入攻擊是指通過嵌入惡意表達式，使服務器執行這些表達式，從而實現攻擊目的。

.net反序列化

反序列化是將數據從一種格式（例如JSON、XML或二進制）轉換回對象的過程。在.NET應用中，不安全的反序列化可能導致任意代碼執行。如果攻擊者能夠控制反序列化的數據，他們可能會注入惡意數據，從而執行任意代碼。

Java反序列化

Java反序列化攻擊通過反序列化惡意對象，使服務器在反序列化過程中執行惡意代碼。

PHP反序列化

PHP反序列化攻擊通過反序列化惡意對象，使服務器在反序列化過程中執行惡意代碼。

SSRF（服務器端請求偽造）

服務器端請求偽造（SSRF）攻擊通過偽造服務器端請求，使服務器訪問內部或外部資源，從而實現攻擊目的。

路徑穿透

路徑穿透攻擊通過注入相對路徑（如../），訪問服務器上的不應公開的文件。

協議違背

協議違背是通過惡意操縱協議（如HTTP、HTTPS等）的方式，進行攻擊或繞過安全機制。

任意文件上傳

任意文件上傳攻擊通過上傳惡意文件，使服務器執行這些文件，從而實現攻擊目的。