风险列表


风险名称	描述
tempScriptDownload	可以下载临时脚本文件，这可能会显示应用程序逻辑和其他敏感信息，如用户名和密码。
sourceCodeDisclosure	可以检索服务器端脚本的源代码，这可能会显示应用程序逻辑和其他敏感信息，如用户名和密码。
pathDisclosure	可以检索 Web 服务器安装的绝对路径，这可帮助攻击者开发进一步的攻击，以及获取有关 Web 应用程序文件系统结构的信息。
directoryListing	可以查看和下载部分 Web 应用程序虚拟目录的内容，其中可能包含受限文件。
envVariablesExposure	可以显示服务器环境变量，这可帮助攻击者开发针对 Web 应用程序的进一步攻击。
anyFileDownload	可以在 Web 服务器上查看任何文件（例如，数据库、用户信息或配置文件）的内容（在 Web 服务器用户许可权限制下）。
userImpersonation	黑客可以窃取客户会话和 cookie，并可能使用这些信息来假冒合法用户，从而能够查看或改变用户记录，以及以该用户身份执行事务。
remoteCommandExecution	可以在 Web 服务器上执行远程命令。这通常意味着服务器及其内容的彻底破坏。
cacheFilesDownload	可以查看高速缓存文件的内容，其中可能包含有关 Web 应用程序的敏感信息。
debugErrorInformation	可以收集敏感调试信息。
eShoplifting	可以窃取商品或服务 (eShoplifting)。
denialOfService	可以阻止 Web 应用程序为其他用户服务（拒绝服务）。
privilegeEscalation	可以升级用户特权，并获得对 Web 应用程序的管理许可权。
genericWorstCase	可以破坏应用程序逻辑。
configurationFile 可下载	可以下载或查看配置文件的内容，其中可能包含重要信息，如用户名和密码。
sensitiveInformation	可以收集有关 Web 应用程序的敏感信息（如用户名、密码、机器名称和/或敏感文件位置）。
genericWorstCaseJavaScript™	可以利用 JavaScript；风险的程度依赖于在客户机端修改的页面的上下文。
genericWorstCaseJSCookie	可以利用 JSCookie 代码；风险的程度依赖于在客户机端创建的 cookie 的上下文和角色。
emailSpoofing	可以使用伪造的电子邮件地址，来通过 Web 应用程序发送电子邮件。
siteDefacement	可以上载、修改或删除 Web 服务器上的 Web 页面、脚本和文件。
databaseManipulations	可以查看、修改或删除数据库条目和表（SQL 注入）。
authBypass	可以绕过 Web 应用程序的认证机制。
siteStructureRevealed	可以检索关于站点的文件系统结构的信息，这可能帮助攻击者映射 Web 站点。
publisherInformation 已显示	可以检索敏感的 FrontPage 发布信息。
dataResourceDownload	可以访问存储在敏感数据资源中的信息。
sensitiveNotOverSSL	可以窃取未加密而发送的敏感数据，如信用卡号、社会保险号码等。
loginNotOverSSL	可以窃取未加密而发送的用户登录信息，如用户名和密码。
unsecureCookieInSSL	可以窃取加密会话过程中发送的用户和会话信息 (cookie)。
sessionCookieNotRAM	可以窃取在磁盘上作为永久 cookie 保存的会话信息 (cookie)。
phishing	可以说服天真的用户，以使其提供敏感信息，如用户名、密码、信用卡号、社会保险号码等。
cachePoisoning	可以通过 Web 缓存投毒破坏站点内容。
attackFacilitation	攻击者可以使用 Web 服务器攻击其他站点，从而提高其匿名性。
maliciousContent	不适用
clientCodeExecution	可以在 Web 应用程序的客户机上执行任意代码。
siteImpersonation	通过使用其他攻击向量，恶意攻击者可以模仿此站点。