（1）SQL 注入：Web 应用未对用户提交的数据做过滤或者转义，导致后端数据库服务器执行了黑客提交的 sql 语句。黑客利用 sql 注入攻击可进行拖库、植入 webshell，进而入侵服务器。
（2）XSS 跨站：Web 应用未对用户提交的数据做过滤或者转义，导致黑客提交的 javascript 代码被浏览器执行。黑客利用 xss 跨站攻击，可以构造恶意蠕虫、劫持网站 cookie、获取键盘记录、植入恶意挖矿 js 代码。
（3）命令注入：Web 应用未对用户提交的数据做过滤或者转义，导致服务器端执行了黑客提交的命令。黑客利用登入注入攻击，可以对服务器植入后门、直接反弹 shell 入侵服务器。
（4）CSRF：Web 应用对某些请求未对来源做验证，导致登录用户的浏览器执行黑客伪造的 HTTP 请求，并且应用程序认为是受害者发起的合法请求的请求。黑客利用 CSRF 攻击可以执行一些越权操作如添加后台管理员、删除文章等。
（5）目录遍历：Web 应用对相关目录未做访问权限控制，并且未对用户提交的数据做过滤或者转义，导致服务器敏感文件泄露。黑客利用目录遍历攻击，可获取服务器的配置文件，进而入侵服务器。
（6）木马后门：Web 应用未对用户提交的数据做过滤或者转义，导致木马代码执行。黑客利用木马后门攻击，可以入侵服务器。
（7）缓冲区溢出：http 协议未对请求头部做字节大小限制，导致可以提交大量数据因此可能导致恶意代码被执行。
（8）文件上传：Web 应用未对文件名后缀，上传数据包是否合规，导致恶意文件上传。文件上传攻击，将包含恶意代码的文件上传到服务器，最终导致服务器被入侵。
（9）扫描器扫描：黑客利用漏洞扫描器扫描网站，可以发现 web 应用存在的漏洞，最终利用相关漏洞攻击网站。
（10）高级爬虫：爬虫自动化程度较高可以识别 setcookie 等简单的爬虫防护方式。
（11）常规爬虫：爬虫自动化程度较低，可以利用一些简单的防护算法识别，如 setcookie 的方式。
敏感信息泄露:web 应用过滤用户提交的数据导致应用程序抛出异常，泄露敏感信息，黑客可能利用泄露的敏感信息进一步攻击网站。
服务器错误：Web 应用配置错误，导致服务器报错从而泄露敏感信息，黑客可能利用泄露的敏感信息进一步攻击网站。
（12）非法文件下载：Web 应用未对敏感文件 (密码、配置、备份、数据库等) 访问做权限控制，导致敏感文件被下载，黑客利用下载的敏感文件可以进一步攻击网站。
（13）第三方组件漏洞：Web 应用使用了存在漏洞的第三方组件，导致网站被攻击。
（14）XPATH 注入：Web 应用在用 xpath 解析 xml 时未对用户提交的数据做过滤，导致恶意构造的语句被 xpath 执行。黑客利用 xpath 注入攻击，可以获取 xml 文档的重要信息。
（15）XML 注入：Web 应用程序使用较早的或配置不佳的 XML 处理器解析了 XML 文档中的外部实体引用，导致服务器解析外部引入的 xml 实体。黑客利用 xml 注入攻击可以获取服务器敏感文件、端口扫描攻击、dos 攻击。
（16）LDAP 注入防护：Web 应用使用 ldap 协议访问目录，并且未对用户提交的数据做过滤或转义，导致服务端执行了恶意 ldap 语句，黑客利用 ldap 注入可获取用户信息、提升权限。
（17）SSI 注入：Web 服务器配置了 ssi，并且 html 中嵌入用户输入，导致服务器执行恶意的 ssi 命令。黑客利用 ssi 注入可以执行系统命令。
（18）Webshell 黑客连接尝试去连接网站可能存在的 webshell，黑客可能通过中国菜刀等工具去连接 webshell 入侵服务器。
（19）暴力破解：黑客在短时间内大量请求某一 url 尝试猜解网站用户名、密码等信息，黑客利用暴力破解攻击，猜解网站的用户名、密码，可以进一步攻击网站。
（20）非法请求方法：Web 应用服务器配置允许 put 请求方法请求，黑客可以构造非法请求方式上传恶意文件入侵服务器。
（21）撞库：Web 应用对用户登入功能没做验证码验证，黑客可以借助工具结合社工库去猜网站用户名及密码。