Виды уязвимостей

1.XSS-уязвимость. Данная уязвимость позволяет запускать на сайте произвольный javascript-код с помощью форм. То есть, злоумышленник с помощью форм на сайте вводит вредоносный JS-код, который запускается на сайте. Помимо внедрения кода в формы XSS может выполняться также с помощью редактирования GET-переменных в ссылках. 

2.SQL-injection. Инъекция SQL-кода. С помощью SQL-запросов хакер может сделать дамп базы данных или внести в нее изменения. Сами запросы обычно передаются с помощью форм на сайте. 

3.HTML-bug. Внедрение или изменение с помощью форм на сайте HTML-кода этого же сайта. 

4.Предсказуемое расположение каталогов и служебных файлов. Плохо, если на сайте слишком предсказуемо расположены каталоги (например, админ-панель находиться по адресу /admin): это огромная уязвимость. 

5.Выполнение команд ОС. Иногда бывает так, что с помощью сайта возможно исполнить команды на сервере, на котором работает сайт. С помощью этой уязвимости хакеры могут запустить на сервере трояна. 

6. «Слабые» пароли доступа к админ-панели. В этом случае может использоваться атака Подбор паролей перебором (Brute Force). 

7.Отсутствие таймаута сессии (Insufficient Session Expiration) – если значение таймаута достаточно большое, то взломщик может использовать старые данные для входа. 

8.Индексирование директорий (Directory Indexing) – в случае отсутствия в директории страницы выводимой по умолчанию (index.html/home.html/default.htm), сервер отображает список директорий. 

9.Небезопасное восстановление паролей (Weak Password Recovery Validation) – данная ситуация может возникнуть если сервер дает возможность восстановить или изменить пароли других пользователей. 

10.Переполнение буфера (Buffer Overflow) – позволяет с помощью перезаписи данных в памяти системы, поменять путь исполнения программы. Данная уязвимость является наиболее распространенным багом в программном обеспечении. 

11.Предсказуемое значение идентификатора сессии (Credential/Session Prediction) – в этом случае у киберпреступника есть возможность перехватить сессию другого посетителя сайта. Уникальный номер сессии предсказывается или угадывается. 

12.Подмена содержимого (Content Spoofing) – в этом случае происходит подмена страниц и пользователь думает, что страницы созданы Web-сервером. 13.Недостаточная аутентификация (Insufficient Authentication) – благодаря этой уязвимости злоумышленник может получить доступ к функциям сервера и важной информации, не имея прав доступа к ней. 

14.Отказ в обслуживании (Denial of Service) – при этой атаке нарушается работа Web-сервера. 

15.Данный класс атак направлен на нарушение доступности Web-сервера.

16.Недостаточная авторизация (Insufficient Authorization) – возможна в тех случаях, когда аутентификация настроена неверно. Аккаунт взломщика не имеет ограничения в доступе к данным.