元ポリシーのコンセプトは： 2つのURL、ドメイン名、同一ポートのプロトコルは、我々は2つの相同URLは、限りプロトコル、ドメイン名として、ポートのいずれかが同じではないので、彼らが相同ではないことを言ったとき、私たちによると、2つのURLクロスドメイン。
ブラウザは、同一生成元ポリシーを使用して、異なるドメインの独自のソースをロードまたは実行する任意のスクリプトのページを禁止しています。
たとえば、ウェブサイトのログインページに埋め込まれたIFRAMEを経由して、悪質なWebサイトのページには、相同性の制限場合は、ユーザーがウェブサイトにログインしたときに、ユーザー名とパスワードを取得することができ、悪意のあるWebサイト上のスクリプトをJS。
JSONPコンセプト： <SRC>、<SCRIPT>タグなどを使用して（クロスドメインのリソースがラベルを読み込むことができます）クロスドメインのクロスドメインのデータアクセス機能の。
ソルト値：ランダムな値に所属し、ユーザ登録のランダムな時間を組み合わせることにより生成された乱数値へのパスワード。
文字セット：
ASCIIコード：シングルバイトエンコーディング
lantin1エンコーディング：シングルバイトエンコーディング
GBKエンコーディング：1と2バイトのコードを使用して、0x00--0x7Fは1、0x81--0xFE 2バイトであります
UTF-8エンコーディング：1〜4バイトのコーディングを使用しては、0x00–0x7F1です。その他の文字は長い2〜4バイトで表現されています
バイト幅は二つ以上のバイトを指し、
バイト幅の注射：
原理：様々な文字コードによる不適切な操作に、防御攻撃値をバイパスするように広いSQLバイトコードを介して注入することができます。
MySQLデータベースにデータを送信、MySQLデータベースにデータを処理することができます文字セット変換の必要性があります。
たとえば：PHPは％5DF％5C％に脱出した後、％のDF \六角は％5cとで、 'PHPのエスケープの場合は、％のDFの\になります'、それは、％DF」と言うことですプログラムがデフォルトの文字セット幅GBKバイト文字セットである場合、MySQL GBKのエンコーディングを使用した場合27は、その後、プログラムは％のdf％5cはワイド文字、すなわちであると仮定します：喪ので、単一引用符が正常に注入することができますA。
XPathインジェクション：
原理：認証ロジックをバイパスする攻撃を引き起こしてユーザー入力の検証、クエリを変更する要求を送信するために、悪意のある攻撃者が、存在しないため、アクセスは、バックエンドデータベースの内容をXML
攻撃の方法：類似したとSQLインジェクション
ネットワークプロトコル：
プロトコルARP：アドレス解決プロトコルは、TCPはIPプロトコルに従って、物理アドレス/ IPアドレスを取得します。ARPコマンドは、静的な対応関係を追加または削除するには、ローカルARPキャッシュのIPアドレスとMACアドレスの対応関係を照会するために使用されます
RARPプロトコル：インバースARP、およびARPは、IPアドレスにローカルエリアネットワークホストにその物理アドレスではなく
TCP / IPプロトコル：TCP / IPインターネットプロトコルは、基本的なプロトコル、ネットワーク層のTCPプロトコルIPプロトコルとトランスポート層の組成物です。TCPは、伝送のために責任がある人気の用語は、問題を発見し、問題は先に、すべての安全性データの正確な伝送を知って、再送信を必要とする、合図されており、IPアドレスは、インターネットの各規定にネットワークデバイスであります
UDPとTCPの違い：TCPは、コネクション型で信頼性の高いバイトストリームのサービスであり、UDPはコネクション信頼性の低いデータグラムサービスです。
DNSプロトコル：IPアドレスにURLを変換します
Netプロトコル：正当なIPアドレス変換技術へのプライベートアドレス
DHCPプロトコルは：自動的にすべてのコンピュータを集中管理するための手段として、ユーザーに内部ネットワークやインターネットサービスプロバイダや社内ネットワーク管理者にIPアドレスを割り当て
HTTPプロトコル：ハイパーテキスト転送プロトコル
一般的なセキュリティの脆弱性の概念の定義：
SQLインジェクション：Webフォームを介して挿入するSQLコマンドを送信したり、ドメイン名またはページリクエストクエリ文字列を入力して、最終的には悪質なSQLコマンドを実行するサーバーを欺くために。
クロスサイトスクリプティング（XSS） ：悪意のあるユーザーの目的を達成するために、ユーザーがページを閲覧する際に、悪意のある攻撃者は、HTMLコードで悪質なWebページを挿入するには、HTMLコード内に埋め込まれたWebは、実行されます。
文件上传：由于文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，导致允许攻击者向某个可通过 Web 访问的目录上传任意PHP/ASP/JSP文件，并能够将这些文件传递给PHP/ASP/JSP解释器，就可以在远程服务器上执行任意脚本。
文件包含：在通过服务器脚本的函数引入文件时，由于传入的文件名没有经过合理的校验，从而操作了预想之外的文件，导致意外的文件泄露甚至恶意的代码注入。
越权：越权漏洞的成因主要是因为开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信而遗漏了权限的判定，导致单个用户可以操作其他人的信息。
逻辑漏洞：逻辑错误漏洞是指由于程序逻辑不严或逻辑太复杂，导致一些逻辑分支不能够正常处理或处理错误，一般出现在任意密码修改、越权访问、密码找回、交易支付金额。
文件下载：一些网站由于业务需求，往往需要提供文件查看或文件下载功能，但若对用户查看或下载的文件不做限制，则恶意用户就能够查看或下载任意敏感文件，这就是文件查看与下载漏洞。
命令执行：指通过提交恶意构造的参数破坏命令语句结构，从而达到执行恶意命令的目的。
信息泄露：当开发者不留意开发过程中的信息泄露问题，就有可能导致网站源代码的泄露、账号密码信息的泄露从而导致更加危险的漏洞利用。
弱口令：弱口令没有严格和准确的定义，通常认为容易被别人（它们有可能对你很了解）猜测或被破解工具破解的口令均为弱口令。弱口令指的是仅包含简单数字和字母的口令，例如 "123"、"abc"等，因为这样的口令很容易被别人破解。
暴力破解：登录口没有设置验证码或是验证码可以重复利用，导致攻击者可以通过遍历或字典爆破等手段破解用户名和密码。
cookie和session的区别：
Cookie（保存在浏览器端的）通过在客户端记录信息确定用户身份，Session（保存在服务器上）通过在服务器端记录信息确定用户身份。
水平越权和垂直越权：
水平越权：即访问控制攻击，Web应用程序接收到用户请求，修改某条数据时，没有判断数据的所属人，或者在判断数据所属人时从用户提交的表单参数中获取了userid。导致攻击者可以自行修改userid修改不属于自己的数据。
垂直权限攻击又叫做权限提升攻击。其原理是由于Web应用没有做权限控制，或仅仅在菜单上做了权限控制，导致恶意用户只要猜测其他管理页面的URL，就可以访问或控制其他角色拥有的数据或页面，达到权限提升的目的