風險清單
| 風險 | 說明 |
|---|---|
| tempScriptDownload | 有可能下載暫時 Script 檔，從而顯現應用程式邏輯及使用者名稱和密碼之類的其他機密資訊。 |
| sourceCodeDisclosure | 有可能擷取伺服器端 Script 的原始碼，從而顯現應用程式邏輯及使用者名稱和密碼之類的其他機密資訊。 |
| pathDisclosure | 有可能擷取 Web 伺服器安裝架構的絕對路徑，從而協助攻擊者擬訂進一步的攻擊，以及取得 Web 應用程式之檔案系統結構的其他資訊。 |
| directoryListing | 有可能檢視及下載特定 Web 應用程式虛擬目錄的內容，其中可能含有受限制的檔案。 |
| envVariablesExposure | 有可能顯現伺服器環境變數，從而協助攻擊者擬訂對 Web 應用程式進一步的攻擊。 |
| anyFileDownload | 有可能檢視 Web 伺服器上任何檔案（例如：資料庫、使用者資訊或配置檔）的內容（在 Web 伺服器使用者的許可權限制之下）。 |
| userImpersonation | 有可能竊取客戶階段作業和 Cookie，用來假冒合法的使用者，讓駭客得以檢視或變更使用者記錄，以及利用這個使用者身分來執行交易。 |
| remoteCommandExecution | 有可能在 Web 伺服器上執行遠端指令。這通常表示會徹底危害伺服器及其內容。 |
| cacheFilesDownload | 有可能檢視快取檔的內容，其中可能包含關於 Web 應用程式的機密性資訊。 |
| debugErrorInformation | 有可能收集機密的除錯資訊。 |
| eShoplifting | 有可能竊取貨品或服務 (eShoplifting)。 |
| denialOfService | 有可能防止 Web 應用程式服務其他使用者（阻斷服務）。 |
| privilegeEscalation | 有可能升級使用者專用權，取得 Web 應用程式的管理許可權。 |
| genericWorstCase | 有可能暗中破壞應用程式邏輯。 |
| configurationFile 可下載 |
有可能下載或檢視配置檔的內容，其中可能含有使用者名稱和密碼之類的重要資訊。 |
| sensitiveInformation | 有可能收集 Web 應用程式的機密資訊，如使用者名稱、密碼、機器名稱及/或機密檔位置。 |
| genericWorstCaseJavaScript™ | 有可能不當運用 JavaScript™；風險範圍會隨著用戶端修改頁面的環境定義而不同。 |
| genericWorstCaseJSCookie | 有可能不當運用 JSCookie 程式碼；風險範圍會隨著用戶端所建立之 Cookie 的環境定義及角色而不同。 |
| emailSpoofing | 有可能利用盜用的電子郵件位址，透過您的 Web 應用程式來傳送電子郵件。 |
| siteDefacement | 有可能上傳、修改或刪除 Web 伺服器上的網頁、Script 和檔案。 |
| databaseManipulations | 有可能檢視、修改或刪除資料庫項目和表格（SQL 注入）。 |
| authBypass | 有可能略過 Web 應用程式的鑑別機制。 |
| siteStructureRevealed | 有可能擷取網站檔案系統結構的其他資訊，因而助長攻擊者探勘網站。 |
| publisherInformation 顯示 |
有可能擷取機密的 FrontPage 發佈資訊。 |
| dataResourceDownload | 有可能存取儲存在機密資料資源中的資訊。 |
| sensitiveNotOverSSL | 有可能竊取機密資料，如傳送時未加密的信用卡號碼、社會保險號碼等。 |
| loginNotOverSSL | 有可能竊取使用者登入資訊，如傳送時未加密的使用者名稱和密碼。 |
| unsecureCookieInSSL | 有可能竊取加密階段作業期間所傳送的使用者和階段作業資訊 (Cookie)。 |
| sessionCookieNotRAM | 有可能竊取在磁碟上保存為永久 Cookie 的階段作業資訊 (Cookie)。 |
| 網路詐騙 | 有可能說服無經驗而易受騙的使用者提供機密性資訊，如：使用者名稱、密碼、信用卡號碼、社會保險號碼等等 |
| cachePoisoning | 可能會透過 Web 快取中毒來破壞網站內容。 |
| attackFacilitation | 可能會讓攻擊者利用 Web 伺服器來攻擊其他網站，以提高其匿名程度。 |
| maliciousContent | 無 |
| clientCodeExecution | 可能在 Web 應用程式的用戶端上執行任意的程式碼。 |
| siteImpersonation | 因為使用其他的攻擊向量，惡意攻擊程式無法假冒此網站。 |