1、SQL注入

bp抓取請求資料包，儲存至txt文件中，如1.txt，藉助sqlmap進行測試，sqlmap命令：

sqlmap.py -r 1.txt --risk 3 --current-db --batch

2、XSS漏洞

bp抓取請求資料包，檢測方法如下：

一種藉助bp的scan模組：

另一種手工測試，如請求中引數為name，可以簡單構造特定資料，如name=xss，在響應包中檢視xss所在位置，從而決定選擇何種payload，

常見payload：

"><svg+onload=alert(1)>

" onmouseover=alert(1) "

<img src=1 onerror=alert(1)>

有些需要根據具體情況去閉合，從而觸發xss。

3、csrf漏洞

跨站請求偽造，通俗說就是讓使用者自己打自己，即利用使用者的cookie來達到攻擊者的攻擊目的，如修改密碼等；

測試方法，藉助bp：

之後瀏覽器訪問，點選按鈕執行即可。

待續。