主要威胁

说明

举例

1

非授权访问

网站认证机制的安全缺陷导致网站服务及信息被非授权访问

口令猜测及撞库攻击，获取用户访问权限

2

网页篡改

网站相关组件存在安全隐患，被攻击者利用，恶意篡改网页

通过网页上传文件功能漏洞替换网页信息

3

数据泄露

网站访问控制措施不当，导致外部非授权用户获取敏感数据

存在SQL注入漏洞，非法下载后台数据库

4

恶意代码

网页木马导致用户账户密码私密信息泄露、终端设备被黑客连接控制

网站挂马将用户引向攻击者所控制网站

5

网站假冒

通过域名欺骗、网站域名劫持、中间人等技术手段，诱骗网站用户访问以获取敏感信息或提供恶意服务

伪造网银域名，获取银行用户账号密码

钓鱼者利用代理技术，操纵网络通信服务

6

拒绝服务

利用目标网站带宽资源有限性及TCP/IP协议安全缺陷，针对目标网站发起Ddos/DoS攻击

攻击技术：UDP Flood、ICMP Flood、SYN Flood、HTTP Flood洪水

7

网站后台管理安全威胁

涉及管理员账号安全性、后台管理程序安全性、内部管理权限安全性。

①管理员身份及密码被窃取：任何人都可以访问和尝试登录管理页面

②管理网页存在安全漏洞：认证应用程序缺少安全性辅入检查，导致SQL注入攻击，或者存在认证旁路

③内部管理权限分配不合理：没有细分系统管理、网页发布、安全审计等角色，导致管理员权限过于集中，形成内部安全隐患