Web安全問答（1）

問：SQL注入

答：SQL注入就是利用現(xiàn)有應(yīng)用程序，將(惡意)的SQL命令注入到后臺(tái)數(shù)據(jù)庫引擎執(zhí)行的能力。SQL注入利用的是正常的HTTP服務(wù)端口，表面上看來和正常的Web訪問沒有區(qū)別，隱蔽性極強(qiáng)，不易被發(fā)現(xiàn)。問：什么叫Web應(yīng)用系統(tǒng)？

Web安全問答（2）

問：XSS

答：跨站腳本攻擊(XSS)是攻擊者通過將其構(gòu)造的惡意腳本提交到網(wǎng)頁中，或者將加入惡意腳本的網(wǎng)頁誘使用戶打開，然后惡意腳本就會(huì)將用戶與網(wǎng)站的會(huì)話Cookie及其它會(huì)話信息全部截留發(fā)送給攻擊者，攻擊者就可以利用用戶的Cookie正常訪問網(wǎng)站。攻擊者有時(shí)還會(huì)將這些惡意腳本以話題的方式提交到論壇中，誘使網(wǎng)站管理員打開這個(gè)話題，從而獲得管理員權(quán)限，控制整個(gè)網(wǎng)站。跨站腳本漏洞主要是由于沒有對(duì)所有用戶的輸入進(jìn)行有效的驗(yàn)證所造成的，它影響所有的Web應(yīng)用程序框架。