1.SQL注入：如果没有对用户输入的参数未做处理
直接方式：直接将代码插入到与SQL命令串联在一起
间接方式：将恶意代码注入要存储的字符串
2.表单漏洞测试
3.Session测试
1.检查Web应用系统是否有超时的限制
2.超时后能否自动退出
3.自动退出后，能否通过浏览器回退到登录界面
4.检查session是否互窜
5.检查session过期处理
4.跨网站脚本漏洞测试
XSS也叫CSS（Cross Site Script），跨站脚本攻击。它指的是恶意攻击者往Web页面插入恶意脚本代码，当用户浏览该页面时，嵌入其中的Web里面的脚本代码会被执行，从而达到恶意攻击用户的特殊目的。
对策：将任何数据返回给用户前均采用HTML编码。
5.命令注射漏洞测试
查找那些来自于HTTP请求的输入可能发起调用的所有地方
6.日志文件测试
主要检查Web运行的相关信息是否写进了日志文件
是否可追踪
是否记录了系统运行中发生的错误
是否记录了用户的详细信息
7.权限控制策略测试
横向越权：指的是攻击者尝试访问与他拥有相同权限的用户的资源
纵向越权：指的是一个低级别攻击者尝试访问高级别用户的资源
页面是否进行权限控制
页面提交的资源标志是否与已登录的用户身份进行匹配比对
必须在服务器端对每个请求URL进行鉴权，而不能仅仅通过客户端的菜单屏蔽或者按钮Disable来限制
8.XML注入测试
9.URL跳转测试
参数检查、参数篡改、参数中SQL注入