1、webshell

這是“黑客”在web網(wǎng)站留下的網(wǎng)頁后門程序，一般由一些網(wǎng)頁程序編寫，來執(zhí)行一些特殊的功能。如PHP、ASP等。如它可以執(zhí)行某些命令，如果web網(wǎng)站管理員對服務(wù)器權(quán)限設(shè)置出現(xiàn)漏洞�！昂诳汀笨梢酝ㄟ^它，直接進(jìn)行網(wǎng)站的文件管理，如果權(quán)限足夠大，“黑客”還可以進(jìn)行該服務(wù)器的磁盤管理，注冊表讀取，數(shù)據(jù)庫管理及添加超級用戶等等。

2、網(wǎng)頁木馬

即在“黑客”拿到某臺web服務(wù)器webshell后。植入在此服務(wù)器的病毒程序。也就是常說的掛馬。（目前很多的網(wǎng)站攻擊都是有目的性的掛馬，來達(dá)到不可告人的目的）。網(wǎng)頁木馬一般是利用系統(tǒng)（一般是IE瀏覽器）漏洞，執(zhí)行程序內(nèi)代碼達(dá)到下載木馬病毒文件或者廣告程序。一旦有IE漏洞的用戶瀏覽被掛馬的網(wǎng)站，就會中招。

3、小馬

簡單短小的webshell程序�；蛘哒f是能達(dá)到特定功能的網(wǎng)頁頁面。小馬的目的一般只有一個，即在web服務(wù)器上新建一個文件，來達(dá)到某種特定的功能。如上傳文件。一般用來上傳大馬之用。小馬由于代碼短少，體積�。ㄓ行┚W(wǎng)站對用戶所上傳文件大小有所限制）所有應(yīng)用廣泛。

4、大馬

功能比小馬強(qiáng)大，如果web站點(diǎn)系統(tǒng)配置上出現(xiàn)的疏忽漏洞,就可以執(zhí)行如文件管理，磁盤管理，數(shù)據(jù)庫管理，注冊表讀取等等（只要權(quán)限足夠大)……當(dāng)然它的體積要大很多。通過大馬本身的功能再加上統(tǒng)配置上出現(xiàn)的疏忽漏洞，就可以拿到更高的權(quán)限！來達(dá)到控制web服務(wù)器的目的！

在此有必要提下，很多的教程中一般是先上傳小馬，再傳大馬。只要是網(wǎng)站沒限制，也可以直接上傳大馬。小馬一般只是在受限的條件下才使用。

5、注入

由于程序員在編寫代碼的時候，沒有對用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，使應(yīng)用程序存在安全隱患。用戶可以提交一段數(shù)據(jù)庫查詢代碼，根據(jù)程序返回的結(jié)果，獲得某些他想得知的數(shù)據(jù)，一般通過服務(wù)器的報錯信息得到一些敏感信息。注入只針對于與數(shù)據(jù)庫有交互的頁面！

6、注入點(diǎn)

即存在注入的頁面。一般和數(shù)據(jù)庫有交互，或者說有調(diào)用數(shù)據(jù)庫的過程發(fā)生。

7、cookie

又名“小甜餅“簡單來說，Cookie就是服務(wù)器暫存放在你的電腦里的資料，好讓服務(wù)器用來辨認(rèn)你的計算機(jī)。當(dāng)你在瀏覽網(wǎng)站的時候，Web服務(wù)器會先送一小小資料放在你的計算機(jī)上，Cookie 會幫你在網(wǎng)站上所打的文字或是一些選擇都記錄下來。當(dāng)下次你再訪問同一個網(wǎng)站，Web服務(wù)器會先看看有沒有它上次留下的Cookie資料，有的話，就會依據(jù)Cookie里的內(nèi)容來判斷使用者，送出特定的網(wǎng)頁內(nèi)容給你，沒有就在你的電腦上寫入cookie（前提是IE是接受cookie的）。

比如小組的論壇，當(dāng)你登陸后，就會在你的電腦上寫入cookie信息，當(dāng)你下次訪問時，就能返回已登陸狀態(tài)。當(dāng)然，cookie也很容易泄密。建議定期清除cookie信息。

8、cookie欺騙

由于目前許多的論壇都使用了cookie技術(shù)以避免多次輸入密碼，所以只要對服務(wù)器遞交給用戶的cookie進(jìn)行改寫就可以達(dá)到欺騙服務(wù)程序的目的！

比如，假如把cookie的值修改成管理員或其他更高權(quán)限。就可以輕松欺騙服務(wù)器，達(dá)到提權(quán)的目的，當(dāng)然，cookie也可以配合跨站等技術(shù)進(jìn)行。

9、XSS跨站

它指的是惡意攻擊者往Web頁面里插入惡意html代碼，當(dāng)用戶瀏覽該頁之時，嵌入其中Web里面的html代碼會被執(zhí)行，從而達(dá)到惡意用戶的特殊目的。XSS屬于被動式的攻擊！

攻擊者一般會構(gòu)造一些特定的html頁面來達(dá)到XSS的目的，比如掛馬，甚至構(gòu)造一個讀取Cookie的頁面，就能讀取用戶的Cookie信息，一旦有管理員權(quán)限的用戶點(diǎn)擊，攻擊者配合Cookie欺騙達(dá)到不可告人的目的！

10、Google黑客

利用google的強(qiáng)大搜索功能，來獲得一些站點(diǎn)的敏感信息。比如網(wǎng)站內(nèi)部鏈接，內(nèi)部文件等等！

常用語法：

intext: 網(wǎng)頁正文內(nèi)容

intitle:搜索網(wǎng)頁標(biāo)題

filetype: 搜索網(wǎng)頁文件類型 如filetype: doc即搜索DOC文件

info:  查找指定站點(diǎn)的一些基本信息.

inurl:搜索我們指定的字符是否存在于URL中，一般用來搜索后臺頁面或找SQL注入點(diǎn)