1、被破壞的認證和 Session 管理——Session token 沒有被很好的保護 在用戶推出系統后，黑客能夠盜竊 session。

2、DNS攻擊——黑客利用DNS漏洞進行欺騙DNS服務器，從而達到使DNS解析不正常，IP地址被轉向導致網站服務器無法正常打開。
DNS攻擊主要是域名劫持，是指在劫持的網絡范圍內攔截域名解析的請求，分析請求的域名，把審查范圍以外的請求放行，否則返回假的IP地址或者什么都不做使請求失去響應，其效果就是對特定的網絡不能訪問或訪問的是假網址。

3、緩沖區溢出——攻擊者利用超出緩沖區大小的請求和構造的二進制代碼讓服務器執行溢出堆棧中的惡意指令。
緩沖區溢出是一種非常普遍、非常危險的漏洞，在各種操作系統、應用軟件中廣泛存在。利用緩沖區溢出攻擊，可以導致程序運行失敗、系統宕機、重新啟動等后果。更為嚴重的是，可以利用它執行非授權指令，甚至可以取得系統特權，進而進行各種非法操作。

4、Cookie假冒——精心修改cookie數據進行用戶假冒。
Cookies欺騙是通過盜取、修改、偽造Cookies的內容來欺騙Web系統,并得到相應權限或者進行相應權限操作的一種攻擊方式。正如我們所知道的，在網絡詞匯中，cookie是一個特殊的信息，雖然只是服務器存于用戶計算機上的一個文本文件，但由于其內容的不尋常性(與服務器有一定的互交性，且常會存儲用戶名，甚至口令，或是其它一些敏感信息，例如在江湖或是一些社區中，常會用cookie來保存用戶集分，等級等等)。因而成為一些高手關注的對象，借此來取得特殊權限，甚至攻克整個網站。

5、SQL注入——構造SQL代碼讓服務器執行，獲取敏感數據。
通過把SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令。具體來說，它是利用現有應用程序，將（惡意的）SQL命令注入到后臺數據庫引擎執行的能力，它可以通過在Web表單中輸入（惡意）SQL語句得到一個存在安全漏洞的網站上的數據庫，而不是按照設計者意圖去執行SQL語句。

6、URL 訪問限制失效——黑客可以訪問非授權的資源連接強行訪問一些登陸網頁、歷史網頁。

7、認證逃避——攻擊者利用不安全的證書和身份管理。

8、非法輸入——在動態網頁的輸入中使用各種非法數據，獲取服務器敏感數據。

9、拒絕服務攻擊——構造大量的非法請求，使Web服務器不能響應正常用戶的訪問。
拒絕服務攻擊即是攻擊者想辦法讓目標機器停止提供服務，是黑客常用的攻擊手段之一。其實對網絡帶寬進行的消耗性攻擊只是拒絕服務攻擊的一小部分，只要能夠對目標造成麻煩，使某些服務被暫停甚至主機死機，都屬于拒絕服務攻擊。

10、跨站腳本攻擊——提交非法腳本，其他用戶瀏覽時盜取用戶帳號等信息。
用戶在瀏覽網站、使用即時通訊軟件、甚至在閱讀電子郵件時，通常會點擊其中的鏈接。攻擊者通過在鏈接中插入惡意代碼，就能夠盜取用戶信息。攻擊者通常會用十六進制（或其他編碼方式）將鏈接編碼，以免用戶懷疑它的合法性。網站在接收到包含惡意代碼的請求之后會產成一個包含惡意代碼的頁面，而這個頁面看起來就像是那個網站應當生成的合法頁面一樣。許多流行的留言本和論壇程序允許用戶發表包含HTML和javascript的帖子。假設用戶甲發表了一篇包含惡意腳本的帖子，那么用戶乙在瀏覽這篇帖子時，惡意腳本就會執行，盜取用戶乙的session信息。

11、強制訪問——訪問未授權的網頁。

12、隱藏變量篡改——對網頁中的隱藏變量進行修改，欺騙服務器程序。