xss
1 .攻击者在页面中嵌入客户端脚本，当用户浏览此页面的时候，脚本会执行，用户输入的数据变成了代码
2 .反射行XSS,当黑客发现你的网站有XSS漏洞的后，构造一个连接，诱导你点击，当你点击的时候就会把自己的cookie发送给对方指定的服务器。
3 .存储型XSS:黑客把代码存储到服务器，别人访问网站就会中招，比如打开网页里面的代码会窃取你的cookie
4 .dom型xss：不需要服务端的参与，可以认为是前端代码的漏洞导致。利用eval（）可以执行任意的字符串的漏洞，可以传入病毒。
5 .过滤转义。一个原则，不相信用户输入的任何信息，对于一些特殊的符号，要进行转义，避免他构成代码块。对代码和脚本进行拦截。判断是否有恶意。
6 .输入值验证，输出值转义。
csrf攻击：跨站请求伪造。
- 虽然发送post会有跨域限制，但是我们可以使用js标签动态创建一个表单，然后把地址指向上述的url，最后自动提交
2 .node脚本攻击提交表单。
3 .检查http-reffer是否同域名，通常情况下，用户提交的请求，一定是同域名的网址，所以如果发现refer中地址异常，那么可能是遭受到了csrf攻击。
4 .避免登录的session长时间存储在客户端中。
5 .关键请求使用验证码或者token机制，在页面中埋入一个token，每次表单提交的时候带上这个token
在http首部注入请求内篡改请求，加载攻击代码，就能发起对web应用的攻击。
1 .url查询字段或表单
2 .http首部
3 .cookie等途径把代码传入
sql注入：针对web应用的数据库，通过运行非法的SQL而产生的攻击。
1 .检索输入的时候，只要可以输入的地方都会出现。
后门程序
1 .开发的时候设置的影长入口，可以不按照正常步骤访问应用。是开发阶段调试bug的入口，开发者为了自己的利益而植入的后门程序。
dos攻击
1 .利用几种访问请求造成的资源过载，在资源用尽的同事，实际上服务也就停止状态了。
2 .通过攻击使安全漏洞使服务停止。
os命令注入；通过web应用，执行非法的操作系统达到攻击的目的，只要在能调用shell的部分就有存在被攻击的风险。
1 .通过传入命令，操作对面的系统安装别的程序。
