...
| 攻击 | 说明 |
|---|---|
| 参数模糊测试 | 当 Web 服务的输入参数没有得到正确验证时，可能会导致底层系统中的漏洞。在本机应用程序中，当未选中输入参数数据大小时，可能会发生缓冲区溢出攻击。这些漏洞可能导致系统崩溃，甚至可能导致未经授权的信息返回给客户机应用程序。 |
| SQL 注入 | 当 SQL 语句在软件执行过程中动态创建时，将固定的输入传递到 SQL 语句中，使其成为 SQL 语句的一部分，就有可能出现安全漏洞。这将允许攻击者访问特权数据、在没有正确登录的情况下登录到密码保护区域、删除数据库表、向数据库添加新条目，甚至登录到具有管理特权的应用程序。 |
| 获取有效用户名 | 包含错误用户名或密码的请求不应得到指示用户名是否有效的响应；这将使攻击者更容易识别有效的用户名，然后使用它们猜测密码。 |
| Xpath 注入 | XPath 注入类似于 SQL 注入，因为它们都是特定形式的代码注入攻击。Xpath 使您能够查询匹配特定标准的节点的 XML 文档。如果使用无效的输入在应用程序代码中动态构造这样的查询（使用字符串连接），那么攻击者可以注入 XPath 查询来检索未经授权的数据。 |
| 跨站脚本 | 当用户可修改的数据被逐字输出到 HTML 时，会出现跨站点脚本问题。随后，攻击者可以提交带有恶意代码的脚本标记，然后在客户机浏览器上执行这些标记。这允许攻击者破坏站点，窃取合法用户的凭证，并获得对私有数据的访问权。 |
| XML Bombs | 当在 XML 文档中使用 DTD（文档类型定义）时，可以通过定义递归实体声明来执行拒绝服务攻击，这种递归实体声明在解析后可以迅速以指数级增长为大量 XML 元素。这会消耗 XML 解析器资源，导致拒绝服务。 |
| 外部实体 | XML 能够通过指向实际数据所在的 URI 动态构建数据。攻击者可以用恶意数据替换正在收集的数据。这个 URI 可以指向本地文件系统上 Web 服务 XML 文件的 XML 解析器读取大量数据，窃取机密信息，或启动 DoS 攻击其他服务器通过妥协系统表现为攻击者通过指定其他服务器的 URL。 |
| XML 模式无效 | 格式良好的文档不一定是有效的文档。 如果不引用 DTD 或模式，就无法验证 XML 文档是否有效。 因此，必须采取措施确保 XML 文档确实引用 DTD 或模式。 |
| 大型 XML 文档 | 大型有效负载可用两种方式攻击 Web 服务。 第一种方式：Web 服务代理可以通过在 SOAP 请求中发送一个巨大的 XML 有效负载来阻塞，特别是当请求是一个格式良好的 SOAP 请求并且它根据模式进行验证的时候。第二种方式：发送特定的请求查询，这种方式也可以导致较大的响应，从而导致较大的有效负载。请求并且它根据模式进行验证时。第二种方式：发送特定的请求查询，这种方式也可以导致较大的响应，从而导致较大的有效负载。 |
| 异常 URL： | 包含格式错误、不可接受或意外内容的 XML 元素可能导致服务失败。 |
...