原文地址：http://blog.csdn.net/wky_csdn/article/details/71713332強調內容
一、Dos攻擊（Denial of Service attack）
是一種針對服務器的能夠讓服務器呈現靜止狀態的攻擊方式。有時候也加服務停止攻擊或拒絕服務攻擊。其原理就是發送大量的合法請求到服務器，服務器無法分辨這些請求是正常請求還是攻擊請求，所以都會照單全收。海量的請求會造成服務器停止工作或拒絕服務的狀態。這就是Dos攻擊。
二、跨站點請求僞造（CSRF，Cross-Site Request Forgeries）
是指攻擊者通過已經設置好的陷阱，強制對已完成認證的用戶進行非預期的個人信息或設定信息等某些狀態的更新。屬於被動攻擊。更簡單的理解就是攻擊者盜用了你的名義，以你的名義發送了請求。
一個CSRF最簡單的例子就是用戶A登錄了網站A在虛擬賬戶裏轉賬了1000塊錢，用戶A在本地生成了網站A的cookie，用戶A在沒有關閉網站A的情況下有訪問了惡意網站B，惡意網站B包含請求A網站的代碼，利用了本地的cookie經過身份驗證的身份又向網站A發送了一次請求，這時你就會發現你在網站A的賬戶又少了1000塊。這就是基本的CSRF攻擊方式。再比如，比如我們使用QQ，看看QQ zone，突然蹦出個包含中獎或者問卷調查鏈接的聊天窗口（或者是。。。），這個騰訊做了防範，但是我們收到封郵件包含此內容，很多用戶會選擇去點擊。
CSRF發生的場景如下圖所示:
用戶登錄訪問了一個受信任的站點，
在用戶還沒有退出登錄的時候，打開另外一個tab頁，訪問了網站B。
在B網站中，有CSRF攻擊代碼訪問網站A。
發生的原因是，網站是通過cookie來識別用戶的，當用戶成功進行身份驗證之後瀏覽器就會得到一個
標識其身份的cookie，只要不關閉瀏覽器或者退出登錄，以後訪問這個網站會帶上這個cookie。
1.登錄受信任網站A，並在本地生成Cookie。
2.在不登出A的情況下，訪問危險網站B。
你也許會說：“如果我不滿足以上兩個條件中的一個，我就不會受到CSRF的攻擊”。
是的，確實如此，但你不能保證以下情況不會發生：
1.你不能保證你登錄了一個網站後，不再打開一個tab頁面並訪問另外的網站。
2.你不能保證你關閉瀏覽器了後，你本地的Cookie立刻過期，你上次的會話已經結束。
（事實上，關閉瀏覽器不能結束一個會話，但大多數人都會錯誤的認爲關閉瀏覽器就等於
退出登錄/結束會話了）如記住密碼功能等。
3.上圖中所謂的攻擊網站，可能是一個存在其他漏洞的可信任的經常被人訪問的網站。
下面來看一個代碼實例，在網站A發佈了下面的代碼
用戶login，然後可以在input.jsp提交數據，提交的數據被dataupdate.jsp更新到後臺。
dataupdate.jsp會檢查用戶是否登錄，如果沒有登錄會跳到login.jsp要求用戶登錄。
三、SQL注入
所謂SQL注入，就是通過把SQL命令插入到Web 表單 提交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令。具體來說，它是利用現有應用程序，將（惡意）的SQL命令注入到後臺數據庫引擎執行的能力，它可以通過在Web表單中輸入（惡意）SQL語句得到一個存在安全漏洞的網站上的數據庫，而不是按照設計者意圖去執行SQL語句。舉個常見的例子：
1、私密信息泄露
假如一個出版書籍的網站，具有根據作者姓名查詢已出版書籍的功能，作者未出版的書籍不能被普通用戶看到，因爲版權屬於隱私的問題。那麼假設請求是用HTTP的GET請求來完成的，其地址欄請求內容爲：www.book.com?serach=echo完成此功能的SQL語句爲簡單的根據條件查找：select * from book where author = ‘echo’ and flag = 1; flag等於1代表書籍已出版。
這時如果有的用戶直接地址欄裏輸入www.book.com?serach=echo’– 這樣請求會發生什麼？？
這樣的請求傳到服務器裏的狀態會是這樣子的 select * from book where author = ‘echo’ – and flag = 1;在SQL語句中–代表註釋，會自動忽略掉後面的內容，所以這個請求是騙過服務器把作者爲echo的已出版和未出版的書籍全部顯示在網頁上。造成網站違背開發者的意圖，造成信息泄露。
四、XSS攻擊
xss表示Cross Site Scripting(跨站腳本攻擊)，它與SQL注入攻擊類似，SQL注入攻擊中以SQL語句作爲用戶輸入，從而達到查詢、修改、刪除數據的目的，而在xss攻擊中，通過插入惡意腳本，達到攻擊的目的，如盜取用戶的cookie，改變網頁的DOM結構，重定向到其他網頁等。