导图社区 Web 安全
史上最全WEB安全知识体系（包含备注说明）web安全、SQL注入、文件包含、文件上传、身份认证与访问控制、反序列化、服务器端信息泄露、服务器安全、浏览器安全等等
包含AI产品经理需要掌握的知识框架，对于AI产品经理工作有很大帮助。对于面试AI产品经理的人员，可以短时间学习，应付面试没有任何问题。
网络空间安全中安全运维相关知识体系梳理及概念解读，可方便用户快速系统了解网络空间安全中安全运维相关知识
这是一篇关于商业模式理论体系的思维导图。、商业模式理论体系|商业模式画布价值主张画布因为了解客户以及价值主张是让事业成功的重要因素之一所以需要针对价值主张进行价值主张画布的描价值主张画布中客户群像与价值
社区模板帮助中心，点此进入>>
互联网9大思维
组织架构-单商户商城webAPP 思维导图。
域控上线
python思维导图
css
CSS
计算机操作系统思维导图
计算机组成原理
IMX6UL(A7)
考试学情分析系统
Web 安全
“Web 安全”关注 Web 服务端和浏览器客户端安全，虽然 Web 安全属于应用安全且与“网络渗透”等一级节点有交集，但因 其重要性和标志性而自成一类
Web 安全基础
Web 安全基础涵盖了在 Web 安全研究中研 究者应掌握的理论知识和实践能力，涉及系统、数据库、协议等理论知识，Web 服务端语言及常用编程语言的阅读和编写能力，以及 Web服务器的搭建、基础配置、简单运维能力等。
HTTP/HTTPS 协议
Cookie/Session
同源策略
Web 编解码
Web加解密
Web编程基础
操作系统基础
数据库基础
社会工程学
其它类型Web安全基础
跨站脚本攻击（XSS）
跨站脚本攻击(Cross Site Scripting， XSS)是一种常见的 Web 安全漏洞，它允许攻击者将恶意代码植入 Web 客户端，从而影响其他浏览此 Web 页面的用户。攻击者能够利 用 XSS 在受害者的浏览器中执行脚本，并劫持用户会话、破坏网站 或将用户重定向到恶意站点。
反射型 XSS
存储型 XSS
DOM 型 XSS
跨站请求伪造（CSRF）
跨站请求伪造(Cross-site Request Forgery, CSRF)是指伪造成合法用户发起请求，挟持用户在当前已登 录的 Web 应用程序上执行非本意操作的攻击方法。CSRF 允许攻击者 迫使用户浏览器向存在漏洞的应用程序发送请求，而这些请求会被 应用程序认为是用户的合法请求。
GET 型 CSRF
POST 型 CSRF
客户端信息泄露
客户端信息指存在于客户端的用户数据， 包括基本信息、设备信息、账户信息、隐私信息等，此信息若保护 不当，一旦被攻击者获取，就会被利用进行网络诈骗、身份仿冒等 恶意操作。
Cookies 泄露
本地缓存获取
浏览历史记录获取
Flash本地共享对象获取
ActiveX控件泄露
其它类型本地存储
劫持攻击
劫持攻击指攻击者通过某些特定的手段，将本 该正确返回给用户的数据进行拦截，呈现给用户虚假的信息，主要 是通过欺骗的技术将数据转发给攻击者。
Session 劫持
HTTP 劫持
DNS 劫持
点击劫持
拖放劫持
触屏劫持
其它类型挟持攻击
浏览器安全
浏览器是互联网最大的入口，是大多数网络 用户使用互联网的工具，因此浏览器安全是一个极其重要的安全领 域。
浏览器沙箱
浏览器设置安全
ActiveX
Adobe Flash
浏览器扩展安全
自定义协议启动
WebRTC
其它浏览器安全
WEB客户端安全
服务端信息泄露
服务器端信息泄露问题指因错误配置 或 Web 组件漏洞导致服务器目录、文件等敏感信息遭泄露的问题。 敏感信息可能被攻击者利用，进而对服务器发起针对性攻击。
目录遍历
文件泄露
源码泄露
Git 信息泄露
SVN 信息泄露
其它类型信息泄露
SQL 注入
SQL注入指通过将恶意的 SQL语句注入正常的 GET 或 POST 方式 HTTP 请求，以改变 Web 服务器后端代码处理请 求参数的执行逻辑，从而间接对服务器数据库执行增、删、改、查 等操作的行为。
布尔盲注
时间盲注
报错注入
联合查询注入
宽字节注入
二次注入
其它类型SQL注入
文件包含
文件包含的合法用途是在代码中引入其他项目 中的包、库等，以实现代码的有效复用。文件包含漏洞指因编程缺 陷，导致 Web 服务器在处理时未能对所引用文件严格限制，致使所 引用的文件可被攻击者控制的问题。
本地文件包含
远程文件包含
文件上传
文件上传漏洞指能够通过利用 Web 容器特性或 Web 应用逻辑缺陷，向 Web 服务器直接上传恶意脚本、WebShell 等恶意文件的安全问题。文件上传时，通常需要解决文件格式限制 绕过、上传路径获取、上传文件正确解析等问题。
截断上传
双重后缀欺骗上传
解析漏洞上传
其它类型文件上传
身份认证与访问控制
身份认证与访问控制用于验证访 问特定资源的用户身份，并设置访问权限。身份认证的目的在于确 保用户身份的真实、合法和唯一性，最常见的认证方式就是用户名 与口令，而访问控制通常用于系统管理员控制用户对服务器、目录、 文件等网络资源的访问。
弱口令爆破
验证绕过
未授权访问
其它类型身份认证与访问控制
反序列化
序列化指编程语言将变量、函数等对象转化 为字节序列的过程。反之，将字节序列转化为对象的过程称为反序 列化。反序列化漏洞指攻击者通过构造字节序列，转化生成恶意对 象的安全问题。
JAVA 反序列化
PHP 反序列化
Python 反序列化
其它类型反序列化
CMS/Web 框架安全
CMS（Content Management System， 内容管理系统）常用于快速的网站建设，CMS/Web 框架安全问题涉 及各类 Web 组件（Struts2、Django、Spring MVC 等）、Web 应用 （WordPress、Joomla、DeDeCMS 等）及其各版本具有的漏洞和利用 代码。
Struts2 漏洞利用
Spring MVC 漏洞利用
Django 漏洞利用
WordPress 漏洞利用
Joomla 漏洞利用
DeDeCMS 漏洞利用
其它类型CMS/Web 框架安全
数据库安全
数据库系统是 Web 的重要组成部分，使得 用户能够通过浏览器端的操作界面以交互的方式经由 Web 服务器来 访问数据。数据库安全是指保护数据库以防止非法用户的越权使用、 窃取、更改或破坏数据，涉及系统运行安全和系统信息安全两方面。
MySQL 数据库安全
Oracle数据库安全
SQLServer 数据库安全
MongoDB数据库安全
PostgreSQL数据库安全
Redis数据库安全
SQLite 数据库安全
其它类型数据库安全
Webshell
WebShell 是网站后门的一种形式，通常是以 ASP、PHP、JSP 或者 CGI 等网页文件形式存在于命令执行环境中， 以达到控制网站服务器的目的。
一句话木马
ASP WebShell
JSP WebShell
PHP WebShell
图片 WebShell
WebShell 混淆隐藏
WebShell 查杀
其它Webshell
Web服务器端安全
Web安全工具使用
Web安全工具的使用能够有效提高工 作效率，扩展渗透测试思路，涉及浏览器及其扩展工具，以及代理 抓包、敏感文件探测、漏洞扫描、注入探测、目标信息搜集等行为
浏览器调试工具使用
Google Hack使用
Nmap使用
Whatweb使用
Burpsuite使用
AWVS使用
Appscan使用
SQLMap使用
DirBuster使用
Chopper使用
Metasploit使用
Nessus使用
其它类型Web安全工具使用
其它Web安全问题
。其它 Web 安全问题指未包含在上述 知识点的其他安全问题。
命令注入
逻辑漏洞利用
HTML5 安全
XML 注入
Cookie 注入
Xpath 注入
CRLF 注入
Web CC 攻击
其它类型Web安全问题
