• 表現(xiàn)與危害：黑客可能通過在搜索框、登錄表單等輸入特殊字符（如單引號(hào)、分號(hào)），獲取數(shù)據(jù)庫中的用戶賬號(hào)密碼、訂單信息等敏感數(shù)據(jù)，甚至刪除數(shù)據(jù)庫表，導(dǎo)致網(wǎng)站數(shù)據(jù)丟失。例如，在登錄頁面輸入 “' or '1'='1” 作為用戶名或密碼門戶網(wǎng)站建設(shè)，可能繞過登錄驗(yàn)證直接進(jìn)入后臺(tái)。

• 修補(bǔ)方法：

• 對(duì)用戶輸入的數(shù)據(jù)進(jìn)行嚴(yán)格過濾和驗(yàn)證，使用參數(shù)化查詢或預(yù)編譯語句（如 PHP 中的 PDO、Java 中的 PreparedStatement），避免將用戶輸入直接拼接進(jìn) SQL 語句。

• 限制數(shù)據(jù)庫用戶的權(quán)限，網(wǎng)站連接數(shù)據(jù)庫的賬號(hào)僅授予必要的操作權(quán)限（如查詢、插入），禁止授予刪除、修改表結(jié)構(gòu)等高危權(quán)限。

• 定期對(duì)數(shù)據(jù)庫進(jìn)行備份，即使發(fā)生注入攻擊，也能快速恢復(fù)數(shù)據(jù)。

• 表現(xiàn)與危害：常見于論壇、評(píng)論區(qū)等允許用戶輸入內(nèi)容的模塊。例如，黑客在評(píng)論中插入 “alert(document.cookie)”，其他用戶查看評(píng)論時(shí)會(huì)彈出包含自己 Cookie 的彈窗，黑客可利用 Cookie 偽造用戶身份登錄網(wǎng)站。

• 修補(bǔ)方法：

• 對(duì)用戶輸入的內(nèi)容進(jìn)行 HTML 轉(zhuǎn)義，將特殊字符（如 <、>、&、"、'）轉(zhuǎn)換為對(duì)應(yīng)的 HTML 實(shí)體（如 <、>），使腳本代碼無法被瀏覽器執(zhí)行。

• 啟用瀏覽器的 Content-Security-Policy（CSP）安全策略，限制腳本的加載來源，禁止執(zhí)行 inline 腳本和 eval 函數(shù)。

• 設(shè)置 Cookie 的 HttpOnly 屬性，防止 JavaScript 獲取 Cookie，降低 Cookie 被竊取的風(fēng)險(xiǎn)。

網(wǎng)站開發(fā)

• 表現(xiàn)與危害：例如，用戶登錄某銀行網(wǎng)站后，又訪問了一個(gè)包含惡意代碼的網(wǎng)站，該網(wǎng)站自動(dòng)發(fā)送一個(gè)轉(zhuǎn)賬請(qǐng)求到銀行網(wǎng)站，由于用戶處于登錄狀態(tài)，銀行網(wǎng)站會(huì)誤認(rèn)為是用戶本人操作，從而執(zhí)行轉(zhuǎn)賬操作。

• 修補(bǔ)方法：

• 在關(guān)鍵操作（如表單提交、賬戶設(shè)置修改）中加入 CSRF 令牌（Token），令牌隨機(jī)生成且與用戶會(huì)話綁定，服務(wù)器驗(yàn)證請(qǐng)求中的令牌是否有效，無效則拒絕請(qǐng)求。

• 驗(yàn)證請(qǐng)求的 Referer 字段，檢查請(qǐng)求是否來自合法的域名，拒絕來自外部域名的請(qǐng)求。

• 對(duì)于敏感操作，要求用戶再次輸入密碼或進(jìn)行驗(yàn)證碼驗(yàn)證，增加操作的安全性。

• 表現(xiàn)與危害：黑客上傳包含木馬程序的.php 文件，若服務(wù)器未限制，該文件會(huì)被執(zhí)行，黑客可通過木馬獲取服務(wù)器權(quán)限，查看或刪除文件、竊取數(shù)據(jù)等。

• 修補(bǔ)方法：

• 嚴(yán)格限制上傳文件的類型，僅允許上傳必要的文件格式（如圖片限制為.jpg、.png、.gif），并通過文件頭信息（而非文件后綴）驗(yàn)證文件類型，防止黑客修改文件后綴繞過檢測(cè)。

• 將上傳的文件存儲(chǔ)在網(wǎng)站根目錄之外的目錄，或通過配置服務(wù)器使該目錄下的文件無法被執(zhí)行（如在 Nginx 配置中禁止解析該目錄的.php 文件）。

• 對(duì)上傳的文件進(jìn)行重命名，使用隨機(jī)文件名代替原始文件名，避免黑客猜測(cè)文件路徑進(jìn)行訪問。

• 表現(xiàn)與危害：例如，某網(wǎng)站的用戶訂單頁面 URL 為 “order.php?id=123”，黑客將 id 改為其他用戶的訂單 ID（如 124），即可查看他人的訂單信息；或通過修改請(qǐng)求中的用戶 ID，偽裝成管理員執(zhí)行操作。

• 修補(bǔ)方法：

• 在進(jìn)行敏感操作或訪問敏感資源時(shí)，嚴(yán)格驗(yàn)證當(dāng)前登錄用戶的權(quán)限，確保用戶只能訪問或操作自己有權(quán)限的資源，而非僅通過 URL 參數(shù)判斷權(quán)限。

• 避免在 URL 中暴露敏感信息（如用戶 ID、訂單 ID），可使用加密后的參數(shù)或會(huì)話中的用戶信息進(jìn)行驗(yàn)證。

• 對(duì)關(guān)鍵操作（如刪除、修改）添加二次確認(rèn)機(jī)制，防止誤操作和惡意操作。

• 表現(xiàn)與危害：例如，某網(wǎng)站有一個(gè) “ping 檢測(cè)” 功能，用戶輸入 IP 地址后，網(wǎng)站會(huì)執(zhí)行 “ping 輸入的 IP” 命令裝修網(wǎng)站開發(fā)，若黑客輸入 “127.0.0.1; rm -rf /”，可能導(dǎo)致服務(wù)器文件被刪除。

• 修補(bǔ)方法：

• 盡量避免在代碼中直接調(diào)用系統(tǒng)命令，若必須使用，需對(duì)用戶輸入的參數(shù)進(jìn)行嚴(yán)格過濾，禁止包含分號(hào)、管道符（|）、重定向符（>）等特殊字符。

• 使用安全的 API 或函數(shù)替代直接執(zhí)行系統(tǒng)命令，例如通過編程語言自帶的網(wǎng)絡(luò)庫實(shí)現(xiàn) ping 功能，而非調(diào)用系統(tǒng)的 ping 命令。

• 防止數(shù)據(jù)泄露，保護(hù)用戶隱私和企業(yè)商業(yè)機(jī)密；

• 避免網(wǎng)站被篡改、植入惡意代碼，維護(hù)企業(yè)品牌形象；

• 減少服務(wù)器被控制的風(fēng)險(xiǎn)，降低經(jīng)濟(jì)損失；

• 符合數(shù)據(jù)安全相關(guān)法律法規(guī)（如《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》）的要求，避免法律責(zé)任。