注入攻击
1、SQL注入
方法：注入可以答应进犯者控制发送至数据库的SQL查询字符串A8站源码交易平台
解决方案：
运用白名单验证用户一切输入
将用户输入转换为正确类型
不行根据用户输入直接引证数据库，表格或许列
应该一直在用户上下文中运转有限权限的查询
运用预处理句子或参数化查询创立动态查询
2、跨站脚本xss
界说：进犯者向网页中注入客户端代码，这些代码可能会向服务器发送恳求，进犯者就会从回来的呼应中盗取cookie、绑架对话、或许将页面重定向到新页面等。
解决方案：
运用有用的库
假定一切的输入不行信
搬运一切输出（尤其是javascript的一些标签）
运用HTTPOnly标志，防止js拜访cookie内容
运用内容安全策略（CSP），确认处理脚本和其他内容的细粒度规矩
表单修正或许提交时，运用POST恳求
运用可防备跨站脚本的X-XSS-Protection HTTP呼应头，启用根据浏览器的防护办法。
3、指令注入
进犯者在web运用中注入操作系统指令，比方下面这段代码：
def listdirectory(directory):
return subprocess.check_output('ls %s' % directory,shell=True)
//假如进犯者在表单中提交'rm -rf,那么上端代码最终履行 subprocess.check_output（"ls;rm -rf/"），就会删去一切文件
解决方案：
A8站源码交易平台
防止运用shell=True，shell只履行单一字符串无法区别指令参数或其他单一字符，因而应将其设为False，假如有必要设为True，应将指令拆分成单个字符串
将数值转为列表的方法传递，
def listdirectory(directory):
return subprocess.check_output(['ls' ,directory],shell=False)`
运用严厉的白名单过滤
保证web服务器以低权限用户身份运转
设置适宜的文件权限
在虚拟环境下运转服务器
会话进犯
会话绑架： 进犯者以某种方法取得浏览器向服务器传递的会话令牌，就可以以已或权限的用户身份运转web运用程序，然后绑架会话信息
防备办法：
一直在web运用程序中运用TLS，任何非加密的恳求可能会露出会话令牌
将secret_key_base设置为一个健旺的随机数在启用加密
一直为用户供给刊出的选项，以手动停止会话
将一切cookie的HttpOnly特点设置为true，使其只能经过TLS衔接发送
在会话cookie上设置合理的失效日期
跨站恳求假造CSRF 运用跨站脚本、浏览器缺点等运用户在当时认证的用户环境中提交歹意恳求，进犯者运用跨站恳求假造，不用盗取会话令牌，而是拐骗用户履行一些他们设定的操作，比较了解的便是之前的qq盗取暗码操作A8站源码交易平台
双提交cookie，在躲藏表单字段中包括CSRF令牌，当用户提交表单时，cookie中的令牌有必要和CSRF令牌共同，不然就不传递
对每个恳求生成随机数，在每次向用户发送的表单中生成随机的一次性令牌
运用Non-GET恳求，对处分用户状况更改或修正数据的操作恳求，不要运用GET
更多的用户交互，比方短信验证码等操作
Django有一个防备CSRF的内置机制
Pyramid：将配置文件中set_default_csrf_options设置为_csrf=True
A8站源码交易平台
