Web安全中常见的漏洞主要包括以下几类,这里为你列举了其中一些典型的类型：
-
SQL注入（SQL Injection）：攻击者通过在输入字段中插入恶意的SQL代码，欺骗数据库执行非授权查询，从而获取、篡改或删除数据。
-
跨站脚本（XSS，Cross-Site Scripting）：攻击者将恶意脚本注入到网页中，当其他用户浏览该页面时，脚本会在其浏览器中执行，可能窃取Cookie、会话令牌或重定向用户。
-
跨站请求伪造（CSRF，Cross-Site Request Forgery）：诱导已登录用户点击恶意链接或访问特定页面，在用户不知情的情况下，以用户身份执行非本意的操作（如修改密码、转账等）。
-
文件上传漏洞：网站允许用户上传文件，但未对文件类型、内容或大小进行严格验证，导致攻击者能上传可执行脚本（如WebShell）,从而控制服务器。
-
不安全的直接对象引用（IDOR，Insecure Direct Object Reference）：应用程序直接暴露内部对象（如数据库ID、文件名）的引用，且未进行充分的权限检查,攻击者可修改参数访问其他用户的数据。
-
安全配置错误：包括默认账号密码未修改、目录列表未禁用、错误信息包含敏感数据、云存储桶权限设置不当等。
-
敏感数据泄露：未对传输或存储中的敏感数据（如密码、信用卡号）进行加密，或使用弱加密算法,导致数据被截获或窃取。
-
服务器端请求伪造（SSRF，Server-Side Request Forgery）：攻击者利用服务器的请求功能，诱导其向内部或外部系统发送恶意构造的请求,从而访问内网资源或发起攻击。
-
XML外部实体注入（XXE，XML External Entity Injection）：当应用程序解析XML输入时，未禁用外部实体引用，攻击者可利用其读取本地文件、发起拒绝服务攻击或进行内网探测。
-
失效的访问控制：用户权限校验不严格，导致普通用户能执行管理员操作,或未授权用户能访问受限资源。
-
使用已知漏洞的组件：使用了过时、未打补丁的第三方库或框架（如旧版Log4j、Struts等）,攻击者可利用公开的漏洞直接入侵系统。
-
反序列化漏洞：应用程序反序列化不可信数据时，若未严格验证，攻击者可能构造恶意对象,触发远程代码执行或数据篡改。
这些漏洞通常出现在Web应用的输入验证、身份认证、会话管理、访问控制及配置等多个环节，了解它们有助于在开发、测试和运维中进行针对性防护。
