1)常见安全扫描软件
2)常见web漏洞原理
3)SSL 自签名漏洞原理和解决方案
4)第三方插件漏洞原理和解决方案
1)常见安全扫描软件
HP WebInspect
Nessua
Burpsuit
appscan
绿盟
Owszap
2)常见web漏洞原理
CSRF跨站请求伪造
原因：
攻击者采用伪造的http请求，包括会话cookie/refer/token/自动填充的身份信息等，发送给web server,让web server认为是合法用户数据。
原理：
1）由于服务器端对用户的设置报文没有校验，该报文被扫描软件获取后，可以使用相同报文进行操作
2）OWZAP 和webinspect 的部分漏洞认定策略是对页面中form 表单要求显式的token控件或者refer 字段检查。 如果没有对单一form进行token处理，而是在form发送的公共函数中增加token处理，导致被误报为漏洞。需要澄清或者增加对refer字段的检查来规避
反CSRF令牌扫描程序Absence of Anti-CSRF Tokens
Owszap 扫描程序针对html中form表单的扫描，发现没有显式定义token字段，一般就会上报漏洞。对于其他方式增加token校验的方案，可以增加refer检查或者cookie 检查试一下，如果仍然存在漏洞，建议澄清处理。
XSS跨站脚本攻击
原因：
由于服务器端对用户的报文没有合法性校验，在没有转义的情况下讲该报文发送给浏览器，在浏览器端执行非法操作.
扫描软件原理：该报文被扫描软件获取后，修改参数js脚本，该js脚本可以获取关键信息，如果webserver正常返回数据，扫描软件认为漏洞成立
解决方案：
在服务器端增加对报文中