漏洞的关键特征有哪些？
1、跨站脚本攻击（Cross Site Scripting，XSS）：是一种在Web应用中存在的计算机比较安全漏洞，攻击者能够利用这一漏洞，在受影响的Web应用中注入恶意的HTML代码，从而在用户的Web浏览器上运行这些恶意代码。
2、SQL注入攻击（SQL Injection，SQLI）：一种常见的Web攻击技术，其本质是利用Web应用程序缺乏良好的参数校验，从而让攻击者可以利用程序中的sql语句改变数据、读取数据库内容等行为。
3、XML外部实体攻击（XML External Entities，XXE）：是一种Web攻击技术，利用XML外部实体攻击，攻击者可以实现从外部读取文件内容、枚举文件以及远程代码执行，来达到挖掘服务器信息，访问本地网络资源或执行有害的操作的目的。
4、越权攻击（Privilege Attack）：是指攻击者拥有较低的访问级别权限，并利用攻击行为绕过比较安全机制，获得比允许更高的访问权限，达成以攻击者名义访问和操作Web应用程序内容的不恰当行为。
5、比较安全头信息攻击（Security Headers Attack）：是指攻击者利用浏览器忽略服务器发送的比较安全头信息，从而绕过比较安全机制，获取服务器上比允许更多的权限的不恰当行为。
漏洞具有以下特性：持久性：一个软件系统从发布之日起，随着用户广泛且深入地使用，软件系统中存在的漏洞会不断暴露出来，这些被发现的漏洞也会不断地被软件开发商发布的补丁软件修补...
常见的web安全漏洞有哪些？
1、sql注入：通过给web应用接口传入一些特殊字符，达到欺骗服务器，执行恶意的SQL命令。利用该漏洞可以读取数据库信息。
2、XSS：跨站脚本攻击（Cross-SiteScripting），向web页面注入可执行的恶意代码，利用该漏洞可以读取目标网站cookie发送到黑客服务器上。
3、CSRF：跨站请求伪造（Cross-siteRequestForgery），诱使用户访问一个攻击页面，利用目标网站对用户的信任，以用户身份在攻击页面对目标网站发起伪造用户请求，达到攻击的目的。
4、DDoS攻击：攻击者不断地发出服务请求，让合法用户的请求无法及时处理，最终就是让一个网站无法访问。
5、XXE：XML外部实体漏洞（XMLExternalEntity），当应用程序解析XML输入时，如果没有禁止外部实体的加载，导致可加载恶意外部文件和代码，就会造成任意文件读取、命令执行、内网端口扫描、攻击内网网站等攻击。
6、JSON劫持：用于获取敏感数据的一种攻击方式，属于CSRF攻击的范畴。
7、暴力破解：
这个一般针对密码而言，弱密码（WeakPassword）很容易被别人（对你很了解的人等）猜到或被破解工具暴力破解。
8、HTTP报头追踪漏洞：
HTTP/1.1（RFC2616）规范定义了HTTPTRACE方法，主要是用于客户端通过向Web服务器提交TRACE请求来进行测试或获得诊断信息。
9、信息泄露：由于Web服务器或应用程序没有正确处理一些特殊请求，泄露Web服务器的一些敏感信息，如用户名、密码、源代码、服务器信息、配置信息等。
10、目录遍历漏洞：
攻击者向Web服务器发送请求，通过在URL中或在有特殊意义的目录中附加../、或者附加../的一些变形（如..\或..//甚至其编码），导致攻击者能够访问未授权的目录，以及在Web服务器的根目录以外执行命令。
11、命令执行漏洞：命令执行漏洞是通过URL发起请求，在Web服务器端执行未授权的命令，获取系统信息、篡改系统配置、控制整个系统、使系统瘫痪等。
12、文件上传漏洞：通过Web访问的目录上传任意文件，包括网站后门文件（webshell），进而远程控制网站服务器。
13：框架或应用漏洞
14、SSLStrip攻击
15、OpenSSLHeartbleed安全漏洞
16、CCS注入漏洞
17、证书有效性验证漏洞