如今web应用已经占据市场大多数，在web的应用程序当中，大多数并不是通过静态的网页游览呈现出来的，而是需要通过服务器的动态进行处理，因此如果web应用在开发上存在缺乏防护意识，那么就会出现许多web应用漏洞，下面向日葵就来带大家了解一下常见web漏洞的测试方法。
SQL注入
向日葵小提示：SQL注入是较为常见的web应用漏洞，一般攻击者都是会选择SQL命令，插入到web表单中，通过递交或者输入域名等方式来请求查询字符串，从而达到欺骗服务器执行SQL命令的效果，来入侵服务器中的资料库，通过此漏洞入侵，可以获取数据，并且篡改数据以及页面内容。
对于SQL注入，向日葵在这里教大家一种简单的测试方法，那就是在需要进行查询的页面中，输入and 1=1等简单sql语句，查看应答结构是否与输入正确查询条件的结果是否一致，如果一致则表明存在SQL注入漏洞。
二、XSS跨站脚本攻击
XSS跨站脚本攻击也是与SQL注入类似的一种攻击方式，xss也就是网页插入的脚本，通过运用前端的HTML和Javascript脚本等技术，发现此漏洞后，可以让用户在游览或者打开web应用时，控制用户的操作行为，同时还可以截获用户的登录账号、密码等数据。
向日葵提醒，该漏洞的测试方法就是在数据输入界面，输入：alert(/123/)，保存成功后如果弹出对话框，表明此处存在一个漏洞。或把url请求中参数改为alert(/123/)，如果页面弹出对话框，表明此处存在一个漏洞。
三、URL跳转漏洞
URL跳转漏洞也就是未经过验证的重定向漏洞，在web应用跳转不同页面的时候，会直接跳转到参数中的URL，将用户程序引导至第三方的链接当中，从而出现各种问题。
对于这一漏洞，向日葵表示测试的方法也是较为简单的，可以使用抓包工具抓取请求，抓取302的url，修改目标地址，查看是否能跳转，如果可以的话也就说明存在跳转漏洞。
以上就是web常见的漏洞及测试方法的介绍，向日葵表示，在web应用当中漏洞问题是存在的，对这些漏洞有一定的了解才能更好的做好预防哦，希望对您有用，如果您还有其他漏洞问题，可以持续关注向日葵，我们会不定期为大家普及相关漏洞问题!
web安全测试主要有哪些漏洞
以下类型的安全漏洞
权控缺失
系统未能正确分配用户的权限，用户能执行超出自己职能范围的操作，这类漏洞称为权控缺失。权控缺失分为两类：平行越权、垂直越权。
逻辑漏洞
逻辑漏洞通常是由于程序逻辑不严密或逻辑太复杂,导致一些逻辑分支被绕过或处理错误。常见漏洞包括:任意密码修改(没有旧密码验证)、密码找回漏洞、业务数据篡改等。逻辑漏洞的出现易造成账号被盗、免费购物,游戏应用易造成刷钱、刷游戏币等严重问题。
条件竞争
服务端在做并发编程时，需要考虑到条件竞争的情况。在多个并发线程同时访问同一资源时，由于对请求的处理不是原子性的，无法预测调度的顺序，就可能由于时间序列上的冲突而造成对共享资源的操作混乱。
XSS跨站脚本攻击
是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，提交的数据被WEB应用程序直接使用，使别的用户访问都会执行相应的嵌入代码。从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。
web 应用的常见 漏洞有哪些
web常见的几个漏洞
1. SQL注入
SQL注入攻击是黑客对数据库进行攻击的常用手段之一。
2. XSS跨站点脚本
XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。
3. 缓冲区溢出
缓冲区溢出漏洞是指在程序试图将数据放到及其内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出的现象。
4. cookies修改
即使 Cookie 被窃取，却因 Cookie 被随机更新，且内容无规律性，攻击者无法加以利用。另外利用了时间戳另一大好处就是防止 Cookie 篡改或重放。
5. 上传漏洞
这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。
6. 命令行注入
所谓的命令行输入就是webshell 了，拿到了权限的黑客可以肆意妄为。
