HTTP不具备必要的安全功能，就是一个通用的单纯协议机制，比如远程登录时会用到的SSH协议来说，SSH具备协议级别的认证及回话管理等功能，HTTP协议则没有。另外在架设SSH服务方面，任何人都可以轻易地创建安全等级高的服务，而HTTP即使已架设好服务器，但若想提供服务器基础上的WEB应用，很多情况下都需要重新开发。因此，开发者需要自行设计认证及回话管理功能来满足Web应用的安全，然而自行设计就意味着会出现各种形形色色的实现。结果，安全等级并不完备，可仍在运作的web应用背后却隐藏着各种容易被攻击者滥用的安全漏洞的bug。
Web应用的攻击模式有两种，主动攻击和被动攻击。以服务器为目标的主动攻击，是指攻击者通过直接访问Web应用，把攻击代码传入的攻击模式。由于该模式是直接针对服务器上的资源进行攻击，因此攻击者需要能够访问到那些资源。主动攻击具有代表性的攻击是SQL注入攻击和OS命令注入攻击。以服务器为目标的被动攻击，是指利用圈套策略执行攻击代码的攻击模式。在被动攻击过程中，攻击者不直接对目标Web应用访问发起攻击。
一、因输入值转义不完全引发的安全漏洞
1.跨站脚本攻击
2.SQL注入攻击
3.OS命令注入攻击
4.HTTP首部注入攻击
5.邮件首部注入攻击
6.目录遍历攻击
7.远程文件包含漏洞
二、因设置或设计上的缺陷引发的安全漏洞
1.强制浏览
2.不正确的错误消息处理
3.开放重定向
三、因会话管理疏忽引发的安全漏洞
1.回话劫持
2.回话固定攻击
3.跨站点请求伪造
四、其它安全漏洞
1.密码破解
2.点击劫持
3.DOS攻击
4.后门程序
笔记来自《图解HTTP》