文件包含漏洞是由攻击者向web服务器发送请求的时候，在URL里面添加非法参数。web服务器端程序变量过滤不严，把非法的文件名作为参数来处理。而这些非法的。文件名可以是服务器本地的某个文件，也可以是远端的某个恶意文件。这种漏洞是由PHP变量过滤不严导致的，所以只有基于PHP开发的web应用程序，才有可能存在文件包含漏洞，文件包含漏洞。它产生的原因是程序开发。人员他们都是希望代码更加灵活，所以说通常会将被包含的文件。设置为变量，然后用来进行动态调用。但是正是由于这种灵活性。从而会导致客户端它可以调用一个恶意文件。最终导致文件包含漏洞。

SQL注入动作是由于web应用程序没有对用户输入数据的合法性进行判断。攻击者通过web页面。的输入区域，比如url表单等。再用构造的SQL。语句插入特殊字符和指令。通过和数据库交互获得私密信息。或者篡改数据库信息。Sql注入攻击在。web攻击中是非常流行的，也是非常普遍的。但是最近几年的这个 SQL输入的漏洞很少，就是出现的比较少了。攻击者可以利用SQL注入漏洞，获取管理员权限。在网页上进行挂马和各种恶意程序，盗取企业和用户的敏感信息，它也可以进行对于数据库修改。删除。等等一些内容。通过构造巧妙的SQL语句。同网页提交的内容结合起来进行注入攻击

比较常用的手段有使用注释符号。横等式使用unit语句进行联合查询，使用insert或者update语句，插入或修改数据等等。此外还有可以利用一些内置函数来辅助攻击。跨站脚本漏洞。也就是我们平常所说的XSS。它是因为web应用程序时没有对用户提交的语句和变量进行过滤或者限制。攻击者它通过web。页面的输入区域。在向数据库或者html页面中提交恶意代码。当用户他打开含有恶意代码的。链接或者页面的时候，恶意代码它就会通过浏览器自动执行，从而达到攻击者的目的。就比如说获取用户的QQ信息。跨站脚本漏洞危害很大。尤其是目前被广泛使用的网络银行。它可以通过跨站脚本漏洞，攻击者就可以冒充受害者。访问用户重要账号。在盗窃企业重要的信息。跨站脚本的目的是盗走客户端敏感信息。在冒充受害者访问的用户的重要账户。

最终 a的敏感信息。他就会在完全不知道的情况下发送给了c。第三个持久跨站脚本攻击也是我们所说的存储型XSS。如果b它拥有一个web站点。这个站点它允许用户发布和浏览已经发布的信息。这个时候 c他注意到b的站点上是有这个存储型XSS漏洞的，然后c发布了一个热点信息。这个热点信息它就会吸引很多用户去阅读。a一旦浏览该信息，它的会话cookie或者说其他的信息就会被c盗走。然后这就获取了a的一些敏感的信息。这个持久性跨站脚本攻击一般都会出现在论坛或者留言博等一些网页。