相關研究表明，跨站腳本攻擊大約占據了所有攻擊的40%，是最為常見的壹類網絡攻擊。但盡管最為常見，大部分跨站腳本攻擊卻不是特別高端，多為業余網絡罪犯使用別人編寫的腳本發起的。
跨站腳本針對的是網站的用戶，而不是Web應用本身。惡意黑客在有漏洞的網站裏註入壹段代碼，然後網站訪客執行這段代碼。此類代碼可以入侵用戶賬戶，激活木馬程序，或者修改網站內容，誘騙用戶給出私人信息。
防禦方法：設置Web應用防火墻可以保護網站不受跨站腳本攻擊危害。WAF就像個過濾器，能夠識別並阻止對網站的惡意請求。購買網站托管服務的時候，Web托管公司通常已經為妳的網站部署了WAF，但妳自己仍然可以再設壹個。
2、註入攻擊
開放Web應用安全項目新出爐的十大應用安全風險研究中，註入漏洞被列為網站最高風險因素。SQL註入方法是網絡罪犯最常見的註入方法。
註入攻擊方法直接針對網站和服務器的數據庫。執行時，攻擊者註入壹段能夠揭示隱藏數據和用戶輸入的代碼，獲得數據修改權限，全面俘獲應用。
防禦方法：保護網站不受註入攻擊危害，主要落實到代碼庫構建上。比如說：緩解SQL註入風險的首選方法就是始終盡量采用參數化語句。更進壹步，可以考慮使用第三方身份驗證工作流來外包妳的數據庫防護。
3、模糊測試
開發人員使用模糊測試來查找軟件、操作系統或網絡中的編程錯誤和安全漏洞。然而，攻擊者可以使用同樣的技術來尋找妳網站或服務器上的漏洞。
采用模糊測試方法，攻擊者首先向應用輸入大量隨機數據讓應用崩潰。下壹步就是用模糊測試工具發現應用的弱點，如果目標應用中存在漏洞，攻擊者即可展開進壹步漏洞利用。
防禦方法：對抗模糊攻擊的最佳方法就是保持更新安全設置和其他應用，尤其是在安全補丁發布後不更新就會遭遇惡意黑客利用漏洞的情況下。
4、零日攻擊
零日攻擊是模糊攻擊的擴展，但不要求識別漏洞本身。此類攻擊最近的案例是谷歌發現的，在Windows和chrome軟件中發現了潛在的零日攻擊。
在兩種情況下，惡意黑客能夠從零日攻擊中獲利。第壹種情況是：如果能夠獲得關於即將到來的安全更新的信息，攻擊者就可以在更新上線前分析出漏洞的位置。第二種情況是：網絡罪犯獲取補丁信息，然後攻擊尚未更新系統的用戶。這兩種情況，系統安全都會遭到破壞，至於後續影響程度，就取決於黑客的技術了。
防禦方法：保護自己和自身網站不受零日攻擊影響最簡便的方法，就是在新版本發布後及時更新妳的軟件。
5、路徑(目錄)遍歷
路徑遍歷攻擊針對Web
root文件夾，訪問目標文件夾外部的未授權文件或目錄。攻擊者試圖將移動模式註入服務器目錄，以便向上爬升。成功的路徑遍歷攻擊能夠獲得網站訪問權，染指配置文件、數據庫和同壹實體服務器上的其他網站和文件。
防禦方法：網站能否抵禦路徑遍歷攻擊取決於妳的輸入凈化程度。這意味著保證用戶輸入安全，並且不能從妳的服務器恢復出用戶輸入內容。最直觀的建議就是打造妳的代碼庫，這樣用戶的任何信息都不會傳輸到文件系統API。即使這條路走不通，也有其他技術解決方案可用。
6、分布式拒絕服務-DDOS
DDoS攻擊本身不能使惡意黑客突破安全措施，但會令網站暫時或永久掉線。相關數據顯示：單次DDOS攻擊可令小企業平均損失12.3萬美元，大型企業的損失水平在230萬美元左右。
DDoS旨在用請求洪水壓垮目標Web服務器，讓其他訪客無法訪問網站。僵屍網絡通常能夠利用之前感染的計算機從全球各地協同發送大量請求。而且，DDoS攻擊常與其他攻擊方法搭配使用;攻擊者利用DDOS攻擊吸引安全系統火力，從而暗中利用漏洞入侵系統。
防禦方法：保護網站免遭DDOS攻擊侵害壹般要從幾個方面著手：首先，需通過內容分發網絡、負載均衡器和可擴展資源緩解高峰流量。其次，需部署Web應用防火墻，防止DDOS攻擊隱蔽註入攻擊或跨站腳本等其他網絡攻擊方法。
7、中間人攻擊
中間人攻擊常見於用戶與服務器間傳輸數據不加密的網站。作為用戶，只要看看網站的URL是不是以https開頭就能發現這壹潛在風險了，因為HTTPS中的s指的就是數據是加密的，缺了S就是未加密。
攻擊者利用中間人類型的攻擊收集信息，通常是敏感信息。數據在雙方之間傳輸時可能遭到惡意黑客攔截，如果數據未加密，攻擊者就能輕易讀取個人信息、登錄信息或其他敏感信息。
防禦方法：在網站上安裝安全套接字層就能緩解中間人攻擊風險。SSL證書加密各方間傳輸的信息，攻擊者即使攔截到了也無法輕易破解。現代托管提供商通常已經在托管服務包中配置了SSL證書。
8、暴力破解攻擊
暴力破解攻擊是獲取Web應用登錄信息相當直接的壹種方式。但同時也是非常容易緩解的攻擊方式之壹，尤其是從用戶側加以緩解最為方便。
暴力破解攻擊中，攻擊者試圖猜解用戶名和密碼對，以便登錄用戶賬戶。當然，即使采用多臺計算機，除非密碼相當簡單且明顯，否則破解過程可能需耗費幾年時間。
防禦方法：保護登錄信息的最佳辦法，是創建強密碼，或者使用雙因子身份驗證。作為網站擁有者，妳可以要求用戶同時設置強密碼和2FA，以便緩解網絡罪犯猜出密碼的風險。
9、使用未知代碼或第三方代碼
盡管不是對網站的直接攻擊，使用由第三方創建的未經驗證代碼，也可能導致嚴重的安全漏洞。
代碼或應用的原始創建者可能會在代碼中隱藏惡意字符串，或者無意中留下後門。壹旦將受感染的代碼引入網站，那就會面臨惡意字符串執行或後門遭利用的風險。其後果可以從單純的數據傳輸直到網站管理權限陷落。
防禦方法：想要避免圍繞潛在數據泄露的風險，讓妳的開發人員分析並審計代碼的有效性。
10、網絡釣魚
網絡釣魚是另壹種沒有直接針對網站的攻擊方法，但我們不能將它除在名單之外，因為網絡釣魚也會破壞妳系統的完整性。
網絡釣魚攻擊用到的標準工具就是電子郵件。攻擊者通常會偽裝成其他人，誘騙受害者給出敏感信息或者執行銀行轉賬。此類攻擊可以是古怪的419騙局，或者涉及假冒電子郵件地址、貌似真實的網站和極具說服力用語的高端攻擊。
防禦方法：緩解網絡釣魚騙局風險最有效的方法，是培訓員工和自身，增強對此類欺詐的辨識能力。保持警惕，總是檢查發送者電子郵件地址是否合法，郵件內容是否古怪，請求是否不合常理。