对Web服务器的攻击也可以说是形形色色、种类繁多，常见的有挂马、SQL注入、缓冲区溢出、嗅探、利用IIS等针对Webserver漏洞进行攻击。下面以其中三个典型且重要的做一下说明：

SQL注入：即通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。

跨站脚本攻击(也称为XSS)：指利用网站漏洞从用户那里恶意盗取信息。用户在浏览网站、使用即时通讯软件、甚至在阅读电子邮件时，通常会点击其中的链接。攻击者通过在链接中插入恶意代码，就能够盗取用户信息。

网页挂马：把一个木马程序上传到一个网站里面然后用木马生成器生一个网马，再上到空间里面，再加代码使得木马在打开网页里运行。

当然除了这三个典型的，还有很多，在这里就不一一赘述了。

做Web安全需要掌握哪些内容

1、基础网络协议/网站架构

不管是C/S架构还是B/S架构都是基于网络通信，需要了解通信流程以及数据包走向等，才能使用相应手段跟工具去做渗透。Web网站常见的协议以及请求方式，这些在做渗透的时候必不可少的。甚至也是可以利用协议来做渗透测试。

2、基础的编程能力

一名Web渗透测试人员必须具有一定的基础编程能力的，如果不会写代码或者看不懂代码，这个是很难做好的。例如需要自己写一款适合此刻情景漏洞的工具，如果不会写会极大降低效率。再者就是关于后续进阶的代码审计问题，如果不会写代码，代码也看不懂那么就不知道怎么从源代码去审计漏洞去发现原因。对于只会利用工具的渗透人员跟会写代码的渗透测试人员来说，在遇到某种情况下，优势一下就能体现出来了。

3.、渗透测试工具

渗透测试工具网上开源的很多，作为渗透测试人员会使用渗透测试工具这是必不可少的。一些优秀的工具要学会利用，还有就是要学会自己写工具。例如在做渗透测试中，好比说大量的数据FUZZ，如果说人工操作将大大浪费时间跟效率。如若网上的工具不符合此漏洞的情景，这时候就需要自己手动写工具去调试。当然网上优秀的工具已不少，优先使用会极大提高我们的效率。

4.、了解网站的搭建构成

试着去了解一个网站的形成架构，语言，中间件容器等。如果不知道一个网站是如何搭建起来的，那么做渗透的时候根本就没有对应的渗透测试方案。例如一个网站采用了某种中间件，或者什么数据库，再或者是采用网上开源的CMS。如果对于这些不了解，那么就只能在网页上徘徊游走，甚至无从下手。了解一个网站的搭建与构成，对于自己前期做踩点与信息收集有着很大的帮助，才能事半功倍。

5、漏洞原理

渗透测试人员肯定是要对漏洞原理去深入探究，这样会从中发现更多有“趣”的东西。所有有“趣”的东西是可能你在原有的基础漏洞上配合其他漏洞，从而达到组合漏洞，这样效果有可能会更佳，如果不去了解漏洞原理，漏洞产生，不去从代码层出发，那就不知道漏洞起因，到后期的渗透利用以及修复方案，就会显得吃力，这时候有可能你就需要去查资料，从某种形式的降低了速度与效率，所以说，知识积累必不可少。

6、报告撰写能力

每次做完都需要撰写渗透测试报告，所以报告撰写能力也是不可或缺的。对于自己漏洞挖掘的梳理，网络结构印象加深，这是后期与客户沟通还有与开发对接提修复建议能起到很大的帮助，这些细小的细节决定着你服务的质量与你的责任感，所以这些都是需要不断的积累与提升的一个过程。

总之，建议你按照我开篇的给你的建议，按照既定路线进行学习、实践以及未来走向相应岗位做出贡献，并不断提升自己，成就梦想。