HTTP本是一個通用的單純協議機制，在安全性方面呈現劣勢，讓我們來看看，常見的攻擊手段有哪些？
在客戶端即可篡改請求
在web應用中，從瀏覽器那接收到的HTTP請求的全部內容，都可以在客戶端自由地變更、篡改。所以web應用可能會接收到與預期資料不相同的內容。在HTTP請求報文內載入攻擊程式碼，就能發起對web應用的攻擊。
針對web應用的攻擊模式
主動攻擊：攻擊者通過直接訪問web應用，把攻擊程式碼傳入的攻擊模式。主動攻擊模式裡具有代表性的攻擊是SQL隱碼攻擊和OS命令注入攻擊。
被動攻擊：指利用圈套策略執行攻擊程式碼的攻擊模式。攻擊者不直接對目標web應用訪問發起攻擊。被動攻擊步驟如下：
因輸出值轉義不完全引發的安全漏洞
實施web應用的安全對策大致分為以下兩部分：客戶端的驗證、web應用端的驗證（輸入值驗證、輸出值轉義）。從資料庫或檔案系統、HTML、郵件等輸出web應用處理的資料之際，針對輸出做值轉義處理是一項至關重要的安全策略。當輸出值轉義不完全時，會因出發攻擊者傳入的攻擊程式碼，而給輸出物件帶來損害。
跨站指令碼攻擊（Cross-Site Scripting，XXS）
指通過存在安全漏洞的web網站註冊使用者的瀏覽器內執行非法的HTML標籤或JavaScript進行的一種攻擊。跨站指令碼攻擊有可能造成以下影響：利用虛假輸入表單騙取使用者個人資訊；利用指令碼竊取使用者的Cookie值，被害者在不知情的情況下，幫助攻擊者傳送惡意請求；顯示偽造的文章或圖片
SQL隱碼攻擊
指標對web應用使用的資料庫，通過執行非法的SQL而產生的攻擊。該安全隱患有可能引發極大的威脅，有時會直接導致個人資訊及機密資訊的洩露。SQL隱碼攻擊有可能會造成非法檢視或篡改資料庫內的資料；規避認證；執行和資料庫伺服器業務關聯的程式等。
OS命令注入攻擊
指通過微博應用，執行非法的作業系統命令達到攻擊的目的。只要在能呼叫shell函式的地方就有存在被攻擊的風險。
HTTP首部注入攻擊
指攻擊者通過在響應首部欄位內插入換行，新增任意響應首部或主體的一種攻擊。屬於被動攻擊模式。HTTP首部注入攻擊有可能會造成以下一些影響：設定任何Cookie資訊、重定向至任意URL、顯示任意的主體（HTTP響應截斷攻擊，即向首部主體內新增內容的攻擊）
郵件首部注入攻擊
指web應用中的郵件傳送功能，攻擊者通過向郵件首部To或Subject內任意新增非法內容發起的攻擊。利用存在安全漏洞的web網站，可對任意郵件地址傳送廣告郵件或病毒郵件。
目錄遍歷攻擊
指對本無意公開的檔案目錄，通過非法截斷其目錄路徑後，達成訪問目的的一種攻擊。
遠端檔案包含漏洞
指當部分指令碼內容需要從其他檔案讀入時，攻擊者利用指定外部伺服器的URL充當依賴檔案，讓指令碼讀取後，就可執行任意指令碼的一種攻擊。
強制瀏覽安全漏洞
指從安置在web伺服器的公開目錄下的檔案中，瀏覽那些原本非自願公開的檔案。強制瀏覽肯能造成的影響：洩露顧客的個人資訊等重要情報；洩露原本需要具有訪問許可權的使用者才可查閱的資訊內容；洩露未外連到外界的檔案。
不正確的錯誤訊息處理的安全漏洞
指web應用的錯誤資訊內包含對攻擊者有用的資訊。與web應用有關的主要錯誤資訊如下所示：
web應用丟擲的錯誤訊息；資料庫等系統丟擲的錯誤訊息；
web應用不比在使用者的瀏覽畫面上展現詳細的錯誤訊息，對攻擊者來說，詳細的錯誤訊息有可能給他們下一次攻擊以提示。
開放重定向安全漏洞
指假如指定的重定向URL到某刻具有惡意的web網站。那麼使用者就會被誘導至那個web網站。
會話劫持
指攻擊者通過某種手段拿到了使用者的會話ID，並非法使用此會話ID偽裝成使用者，達到攻擊的目的。
攻擊者可能獲得會話ID的途徑：通過非正規的生成方法推測會話ID；通過竊聽或XSS攻擊盜取會話ID；通過會話固定攻擊強行獲取會話ID。
會話固定攻擊
對以竊取目標會話ID為主動攻擊手段的會話劫持而言，會話固定攻擊會強制使用者使用攻擊者指定的會話ID，屬於被動攻擊。
跨站點請求偽造
指攻擊者通過設定好的陷阱，強制對已完成認證的使用者進行非預期的個人資訊或設定資訊等某些狀態更新，屬於被動攻擊。可造成以下影響：利用已通過認證的使用者許可權更新設定資訊；利用已通過認證的使用者許可權購買商品；利用已通過認證的使用者許可權在留言板上發表言論。
密碼破解攻擊
即算出密碼，突破認證。密碼破解有以下兩種手段，即通過網路的密碼試錯；對已加密密碼的破解。
通過網路的密碼試錯主要有兩種方式：窮舉法和字典攻擊
從加密過的資料中匯出明文通常有以下幾種方法：通過窮舉法·字典攻擊進行類推；彩虹表；拿到金鑰；加密演算法的漏洞
點選劫持
指利用透明的按鈕或連結做成陷阱，覆蓋在web頁面之上。然後誘使使用者在不知情的情況下，點選那個連結訪問內容的一種攻擊手段。這種行為又被稱為介面偽裝。
DoS攻擊
是一種讓執行中的服務呈停止狀態的攻擊，有時也叫做服務停止攻擊或拒絕服務攻擊。DoS攻擊方式：集中利用訪問請求造成資源過載，資源用盡的同時，實際上服務也就呈停止狀態；通過攻擊安全漏洞使服務停止。
多臺計算機發起的DoS攻擊稱為DDoS攻擊。該攻擊通常利用那些感染病毒的計算機作為攻擊者的攻擊跳板。
後門程式
指開發設定的隱藏入口，可不按正常步驟使用受限功能。利用後門程式就能夠使用原本受限的功能。
後門程式型別：開發階段作為Debug呼叫的後門程式；開發者為了自身利益植入的後門程式；攻擊者通過某種方法設定的後門程式。