Web站点架构
1、应用程序的漏洞最多、最多种多样
2、中间件本身会出现漏洞，它是Web的基础设施，所以出现漏洞影响范围巨大
3、从传输角度来看，HTTP协议是明文协议，容易被嗅探从而获得信息，越来越多的使用HTTPS
4、浏览器网站本身可能会被“挂马”，被黑客嵌入了恶意链接，访问时触发定向到木马服务器并自动下载到本地，如果本地主机有漏洞则会被木马攻击，自动执行控制主机
5、Web应用程序、nginx代理、数据库各一台独立服务器，分散部署，可以减少被攻击
Web应用层次
浏览器：Firefox/IE/Chrome
Web前端框架：jQuery/Bootstrap/HTML5框架
Web应用：BBS/CMS/BLOG
Web开发框架：Django/Rails/ThinkPHP/struts2
Web服务端语言：PHP/ASP/.NET
Web容器：Apache/IIS/Nginx
存储：数据库存储/内存存储/文件存储
操作系统：Linux/Windows
从上到下数据输入，从下到上数据输出
Web安全问题根源
Web服务支撑软件问题：IIS、Apache、nginx、jboss、tomcat等
Web开放框架：structs2、thinkphp等
Web组件：openssl
Web应用程序：输入输出处理 php、jsp、.net等
Web客户端：IE、Firefox等
Web传输协议：HTTP
Web服务端软件安全问题
·软件自身安全漏洞
例：IIS 5.0超长URL拒绝服务漏洞、Unicode解码漏洞
·软件配置缺陷
默认账号、口令；不安全配置
例：IIS配置允许远程写入
Web程序安全问题
输入输出处理、会话控制、文件系统处理、用户访问机制、日志处理等
Web浏览器安全问题
可能存在安全漏洞（基于Cookie的攻击）
可能存在软件配置缺陷
Web协议安全问题(HTTP协议)
信息泄露：明文传输（用户名和口令向服务器提交的数据）
弱验证：简单的认证
缺乏状态跟踪：无状态协议、Session存在安全隐患