圖1-1包含靜態(tài)信息的傳統(tǒng)Web站點

圖1-2典型的Web應(yīng)用程序

Web應(yīng)用程序帶來了新的重大安全威脅。應(yīng)用程序各不相同，所包含的漏洞也各不相同。許多應(yīng)用程序是由開發(fā)人員獨立開發(fā)的，還有許多應(yīng)用程序的開發(fā)人員對他們所編寫的代碼可能引起的安全問題只是略知一二。為了實現(xiàn)核心功能，Web應(yīng)用程序通常需要與內(nèi)部計算機(jī)系統(tǒng)建立連接。這些系統(tǒng)中保存著高度敏感的數(shù)據(jù)，并能夠執(zhí)行強(qiáng)大的業(yè)務(wù)功能。15年前，如果需要轉(zhuǎn)賬必須去銀行，讓銀行職員幫助你完成交易。而今天，你可以訪問銀行的Web應(yīng)用程序，自己完成轉(zhuǎn)賬交易。進(jìn)入Web應(yīng)用程序的攻擊者能夠竊取個人信息，進(jìn)行金融欺詐或執(zhí)行針對其他用戶的惡意行為。

zhangcun