手机号码登陆过安卓或者苹果系统能查询到吗
现在App非常的“有套路”，它们会让你必须通过手机号码注册App。这就导致了，你下载了无数的App，结果都是通过手机号进行的注册。事实上，手机注册App可能会不自觉将我们的隐私给泄露，所以我们都想，有什么办法知道我们手机号注册或者绑定了哪些App呢？
方法一：蠢萌的方法
我们可以下载某款App，然而尝试重新注册，如果上面显示该号码已经注册，说明了你已经绑定过这款App了。
方法二：专门App查询
腾讯手机管家中，似乎也也可以进行查询。我们可以在打开App后，点击「应用安全」选项，进入到「隐私风险监测」 ——找到「账号泄露查询」，可以进行绑定查询。
方法三：专门的网站查询
这个网站本身好像也存在风险，而且可能会收取费用，所以虽然不推荐，还是先说出来。
最好的方法：大家最好有记笔记的情况，可以在备忘录中，如果自己想绑定某个App，直接输入名字，让你下次想注销的时候，可以随时知道！
人们的生活离不开手机，生活中可能用手机号注册了很多网站，日积月累，我们都可能忘记绑定了哪些网站，只能记住常用的，比如微信、支付宝、银行卡等。
通过拨打客服电话，无法查询手机号码绑定了哪些服务，这个也是不是运营商的业务。那么如何能够查询我们手机号绑定了哪些软件呢？
短信验证码查询
注册某些网站时，绑定手机号会发送验证码，在我们的手机里搜索“验证码”，通过收到的短信信息，可以大致判断手机号码绑定了哪些网站。
邮箱查询
这种方式与上述类似，我们在注册某些网站时，通常还会绑定邮箱，用于找回密码等，在电子邮件中搜索“验证码”“注册”之类的字眼就可以查询自己注册过哪些网站。
网站查询
网上有很多网站提供了这种查询服务，比如REG007这个网站，我试着将自己的手机号码输入，查询了一下，就可以查询到自己手机号曾经注册过的网站。
这个网站的查询方式，利用了爬虫的原理，根据输入的手机号或者邮箱去试试看有没有注册过。这个网站可能应该维护了一个常见网站的列表，包括网站logo、类别、介绍等，然后用你输入的邮箱或者手机号模拟注册，根据注册页面反馈的消息，判断你的手机号是否在这个网站注册过。
总结
通过网站查询手机号绑定的信息，有泄露个人隐私的风险，而且查询结果也不准确。平时，我们可以使用手机的云备份功能，建立一个备忘录，将自己注册的网站进行记录。
现在不管用什么App、网站都要绑定手机号，绑定多了自己都不记得了，有些甚至绑定了别人帐号，若不及时解除，后果不堪设想。这里就教大家2个方法，查询手机号绑定过哪些软件？
一、腾讯管家模拟注册：查看手机号绑定网站
腾讯手机管家是腾讯官方出品的应用，安卓和苹果系统都可以使用，官方表示可以支持检测常用平台65个，检测原理是各个平台逐一尝试注册，也就是说会在这65个平台上模拟注册我们的手机号，验证是否已注册，所以并不会因此有隐私泄露的风险，大家可以放心使用。
下载后打开应用，点击最下方的“应用安全”，找到帐号泄露查询。
接下来输入想要查询的手机号，会收到一条验证码短信，在应用上输入验证码即可。
等待一分钟左右就出来结果了，可以看到该手机号已注册的网站。想要解除绑定的话，需要一一登录各个网站看是否有解除绑定功能。
二、公众平台安全助手：查询手机号绑定公号
随着微信公众号的兴起，相比很多人都拥有过至少一个公众号。在公众平台安全助手，即可查询到手机号绑定帐号、身份证号绑定帐号、微信号绑定帐号等信息。
这里点击「手机号绑定帐号」，输入要查询的手机号和验证码，即可查询到该手机号绑定的公众号和小程序了。
其他帐号绑定及泄露查询
除此之外，我们还可以通过火狐浏览器查看邮箱是否泄露、通过腾讯客服查询身份证绑定了哪些微信号等等。
各种软件层出不穷，更新换代也越来越快，在登陆各种软件的同时，我们的手机号也绑定了各种各样的软件，时间久了，会忘记许多，如果要换手机号码的话，不可避免会有一些安全隐患。我在这里教大家几种方法看看自己手机号都注册过哪些软件，方便大家注销。
前提☞打开浏览器（手机浏览器的话要设置为电脑版，以QQ浏览器为例）
1、
百度专业查询网站“找回你”，输入自己的手机号、邮箱、QQ，点击Search就可以查看自己手机注册过的网站了。
2、
百度专业查询网站“REG007”输入自己手机号、邮箱、QQ，点击搜索，同样可以查询。
3、
打电话给运营商的查询电话，转接人工服务，让客服帮忙查询。（移动10086、联通10010、电信10000）
这个其实有好几个渠道的
1、最方便的一个渠道，直接打客服电话，转人工服务，直接可以查询，这种方法比较快捷方便，一般要在白天9点以后拨打。移动10086，联通10010，电信10000.
2、最靠谱的渠道，也是比较麻的，直接去营业厅，这个肯定什么都可以查到，这个可能有时候会不方全，而且可能会有较长时间的排队，个人合作厅可能没有权限查到这个，要去当地正规的营业厅。
3、官方网站，官方APP
可以登陆官方网站，或者官方的APP，再或者也可以去微信端，这里面也有客服，也可以查，APP里面也能显示一部分业务，不过有可能不是很全。
总之，打客服电话是最方便的，基本可以查到你所需要的信息，有的可能需要提供机主信息，营业厅是最全面的，但是需要去正规的营业厅，而且有可能需要排队，需要带身份证。
运营商的手机号卡具有回收功能，一个号卡停机或者欠费三个月就有被运营商回收的风险。
无论是新购异或是即将注销的手机号卡均会有捆绑软件的烦恼，前者是这个号卡用户并未来得及注销的软件应用，存在着一定的信息安全泄露问题；后者面临即将销号如何注销捆绑软件的困扰，自己或许都不记得捆绑了哪些软件。
那么，是否能够通过软件或者其他的方式来查询自己安装过哪些软件呢？
查询手机号码绑定软件的一些方法
一、是否能够通过软件的方式进行查询
如果真的具有这种软件，想想都会令人感到恐怖。一款软件能够查询到您所有的注册信息，意味着您的个人信息出现泄露，很容易会导致信息安全事件。
有些人介绍使用“找回你”网站，个人尝试搜索并登录进行查询，该网站已经关闭（网站关闭暂时不知道其搜寻原理，总之令人感到并不放心）。又有人说通过“REG007”也可以查询注册信息，点击进去后，使用同一个号码两次查询的结果均不相同，并且能够查询到的注册信息较少。
因此，大家还是打消软件查询的这个念头，特别是此类查询方法本身是否安全也存在着争议。
二、是否能够通过运营商进行查询
这里有些人想到了是否可以通过运营商进行查询，这里分为两种情况：一种是通过运营商移动平台注册的业务，这无疑能够查询到注册信息。但是，用户通过网站或其他三方APP软件进行注册，运营商并不会掌握相关的信息。
因此，运营商能够帮助我们的仅仅是一小部分，大量的工作还是只能依靠我们自己。
三、其他的方法
要是你来问我注册过哪些网站、哪些APP软件、哪些业务，打死我也说不上来。不过，这里却有一种最笨的方法可以使用，利用注册反馈的短信消息。
随着移动应用的快速发展，相比短信大家已经不再使用。多数情况下，短信的功能仅是下发验证码、注册信息等。这样，短信的数量就不至于过于庞大，可以下载导入出所有的短信进行逐条分析，可以得出您所有的注册信息。
当然，这是最笨也最有效的一种方法，不过相信尝试的人应该没有多少。如果真正想要注销手机号码，建议给自己一个月的缓冲期，逐步将捆绑业务迁移至新的号卡。
关于查询手机号码捆绑过哪些软件，您是否还有更好的方法？
如何查询自己的手机号码绑定过哪些的软件，其实对于这个问题，想必大家都是非常的苦恼的，因为现在的软件在注册的时候，必须要用户使用自己的手机号码登录和接收验证码才可以使用的，所以这样一来我们的手机号码就会注册很多的软件。
重复使用手机号码进行注册，接收验证码
这个办法可以说是非常的实用的，我们在使用手机号码进行注册的时候可以使用之前或者现在使用的手机号码，但是大家会发现在登录的时候，有一个用短信验证码登录的方式，所以我们可以直接的选择用验证码进行登录的方式进行登录。
如果你的手机号码已经注册过这个软件，那么在输入验证码的时候，则必然会出现一个该手机号码已经注册过软件的提醒，这个时候我们就可以知道手机号码有没有绑定这款软件。
虽然说这个办法是比较笨的，不过也是最有效果的一个办法，所以如果说我们想要查询自己的手机号码有没有绑定哪些的软件，也是可以使用这个方法。
使用网络查询的功能，也是可以进行查询的
在一些网络上也是存在很多的第三方的查询的功能的，比如说REG007进行查询的方法，不过我个人并不是很建议大家使用这个办法进行查询的。
其一：这个网站虽然可以进行一些注册过的网站的查询，但是存在一定的风险的，可能在这个网站上查询自己曾经注册过哪些网站会泄露出自己的一些信息的。
还有就是可以通过一些专业的软件来进行查询自己绑定过的软件有哪些的。
如何查询手机号码绑定过哪些软件？手机号码成为了我们生活工作中不可或缺的产品，不只是平时通信用，现在很多的服务几乎都需要提供手机号码，或者绑定。长期下去，连自己都不知道自己到底在哪些地方用手机绑定或注册过服务，导致现在都不敢轻易更换手机号码。
虽然使用一些方式和工具能够查询到部分绑定过的软件，但都不全面或有风险。因为大部分的软件数据并不会共享出来，只存在别人的数据库中，只有提供服务的机构可以知道你绑定了，比如微信、支付宝、银行等。所以作为个人来说，养成自己注册或绑定一次，那就找地方记录保存下来的习惯。这也是最笨的方法，但也是最有效的方法。
当然也可以保留自己注册或绑定时留下对方给我们发过来的验证信息，有些可能发送到邮箱，有些发送到手机。保留这些邮件或短信，也与上面的办法差不多是一样的。
另外也就是比较常用的是，那就是测试法。就是看到哪个软件或者哪个网站，那就是试着登录进去，看看自己的手机是否绑定。有些用用户名、或邮箱、或手机可以登录，或者直接使用手机找回用户名、密码等这些方式，都可以测试出自己是否使用绑定过这个服务。
还有就是搜索引擎查询法。有很多的网站并不严谨，或者留下的手机号被搜索引擎收录了，比如使用百度、搜狗这些一搜，可能就会显示出自己的手机号码。当然有些地方并不是注册或绑定了自己的手机，可能是自己业务需要留下的手机号码。
再者通过第三方工具查询法。比如专门提供手机注册查询功能的查询网站。但这些同样是不一定准确和全面的，毕竟很多绑定或注册数据是存储在数据库里而不显示的，也就是不共享出来的，要查询也不全面。另外，这些网站同样有些不会告诉你的，那就是一旦查询，可能你查的手机号码也被这个网站所记录，甚至有可能是收费服务的。
现在手机使用的频率是非常高的，而且很多app都是需要手机号去注册，各种的套路，小可爱们有没有中过标呢？今天我们一起去看看如何查询自己手机号绑定了哪些软件，赶紧操作起来，不要让自己信息外泄啦。
第一步：小可爱们可以通过应用商店去下载“腾讯手机管家”，下载好app之后，点击进入腾讯手机管家，然后进入“应用安全”，再找到“隐私风险监测”，点击进入哦。
第二步：点击进入“隐私风险”之后，可以看到手机的新界面有个“账号泄露查询”，小可爱们动下小手点进入此处功能，然后输入自己的手机号码，这时手机会收到查询验证码，需要输入进去哦。
第三步：这时手机收到短信之后，在手机界面当中输入手机当中的几位验证码，这里查询之后，稍等片刻哦，查询的速度是非常快的，耐心等待片刻。
第四步：等待片刻之后，点击查询，手机界面当中显示小可爱们手机号所绑定的各种app信息，小可爱们可以查询下，自己是否有注册绑定过，没有绑定的小可爱们记得自己赶紧去注销哦。
怎样知道电脑是否被入侵
收到的数据量比发送的数据量大的多属于正常现象，如果反之则极有可能是被远程入侵了。
此外判断是否被入侵的方法：
一般判断：
1、查看端口，特别是从其他主机上扫描本机所有开放端口（以防本机上被隐藏的端口）
2、查看进程，特别是用带有路径和启动参数的进程查看软件检查
3、检查所有启动项（包括服务等很多启动位置）
4、查看可引起程序调用的关联项、插件项
高级防范：（防止内核级隐藏端口、进程、注册表等）
1、用其他可读取本系统文件的os启动，检查本机文件、注册表
2、用网络总流量对比各套接字流量和、查看路由器网络通讯记录等方法分析异常网路通讯
要抓入侵人，查看并跟踪日志。（不光是本机的日志，包括路由器的，电信的等）
如何来知道电脑有没有被装了木马？
2005-07-20
一、手工方法：
1、检查网络连接情况
由于不少木马会主动侦听端口，或者会连接特定的IP和端口，所以我们可以在没有正常程序连接网络的情况下，通过检查网络连情情况来发现木马的存在。具体的步骤是点击“开始”-“运行”-“cmd”，然后输入netstat -an这个命令能看到所有和自己电脑建立连接的IP以及自己电脑侦听的端口，它包含四个部分——proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息，我们就可以完全监控电脑的网络连接情况。
2、查看目前运行的服务
服务是很多木马用来保持自己在系统中永远能处于运行状态的方法之一。我们可以通过点击“开始”-“运行”-“cmd”，然后输入“net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们可以进入“服务”管理工具中的“服务”，找到相应的服务，停止并禁用它。
3、检查系统启动项
由于注册表对于普通用户来说比较复杂，木马常常喜欢隐藏在这里。检查注册表启动项的方法如下：点击“开始”-“运行”-“regedit”，然后检查HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值。
Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。打开这个文件看看，在该文件的[boot]字段中，是不是有shell=Explorer.exe file.exe这样的内容，如有这样的内容，那这里的file.exe就是木马程序了！
4、检查系统帐户
恶意的攻击者喜在电脑中留有一个账户的方法来控制你的计算机。他们采用的方法就是激活一个系统中的默认账户，但这个账户却很少用的，然后把这个账户的权限提升为管理员权限，这个帐户将是系统中最大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。针对这种情况，可以用以下方法对账户进行检测。
点击“开始”-“运行”-“cmd”，然后在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user 用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不应该属于administrators组，如果你发现一个系统内置的用户是属于administrators组的，那几乎可以肯定你被入侵了。快使用“net user用户名/del”来删掉这个用户吧！
怎么知道自己的信息有没有被泄露？
可以用微信查看。
手机：小米8
系统：骁龙845
软件：微信2021
第一步、我们打开微信，在聊天页面找到「微信支付」。
第二步、点开微信支付后，点击左下角的「发送文字符号」，给微信支付发送：“查询名下账户”，接下来直接点击给您回复的蓝色字体，进入本人身份信息验证。
第三步、验证本人信息，确定是否本人操作，如实填写信息，输入姓名和身份证号码，然后点击下一步。
通过后，就会开始刷脸验证人脸识别，过程大约5 秒。（保持镜头稳定，人脸清晰，不要有遮挡物）
第四步、前面的步骤完成之后，就会出现自己身份信息所绑定的微信账号，如遇到非本人名下的微信账号，点击清除即可。
常见的操作系统漏洞有哪些怎么解决
再强大再安全的 操作系统 ，也会出现一些漏洞从而被病毒攻击。那么如何解决漏洞被攻击的问题呢？下面由我整理了常见的操作系统漏洞及解决 方法 ，希望对你有帮助。
常见的操作系统漏洞及解决方法
常见的操作系统漏洞一、 SQL注入漏洞
SQL注入攻击(SQL Injection)，简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。
通常情况下，SQL注入的位置包括：
(1)表单提交，主要是POST请求，也包括GET请求;
(2)URL参数提交，主要为GET请求参数;
(3)Cookie参数提交;
(4)HTTP请求头部的一些可修改的值，比如Referer、User_Agent等;
(5)一些边缘的输入点，比如.mp3文件的一些文件信息等。
SQL注入的危害不仅体现在数据库层面上，还有可能危及承载数据库的操作系统;如果SQL注入被用来挂马，还可能用来传播恶意软件等，这些危害包括但不局限于：
(1)数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。作为数据的存储中心，数据库里往往保存着各类的隐私信息，SQL注入攻击能导致这些隐私信息透明于攻击者。
(2)网页篡改：通过操作数据库对特定网页进行篡改。
(3)网站被挂马，传播恶意软件：修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。
(4)数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员帐户被篡改。
(5)服务器被远程控制，被安装后门。经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。
(6)破坏硬盘数据，瘫痪全系统。
解决SQL注入问题的关键是对所有可能来自用户输入的数据进行严格的检查、对数据库配置使用最小权限原则。 通常使用的方案有：
(1)所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统都提供了参数化SQL语句执行接口，使用此接口可以非常有效的防止SQL注入攻击。
(2)对进入数据库的特殊字符('"\*;等)进行转义处理，或编码转换。
(3)确认每种数据的类型，比如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。
(4)数据长度应该严格规定，能在一定程度上防止比较长的SQL注入语句无法正确执行。
(5)网站每个数据层的编码统一，建议全部使用UTF-8编码，上下层编码不一致有可能导致一些过滤模型被绕过。
(6)严格限制网站用户的数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害。
(7)避免网站显示SQL错误信息，比如类型错误、字段不匹配等，防止攻击者利用这些错误信息进行一些判断。
(8)在网站发布之前建议使用一些专业的SQL注入检测工具进行检测，及时修补这些SQL注入漏洞。
常见的操作系统漏洞二、 跨站脚本漏洞
跨站脚本攻击(Cross-site scripting，通常简称为XSS)发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意代码等攻击。
XSS攻击使用到的技术主要为HTML和Javascript，也包括VBScript和ActionScript等。XSS攻击对WEB服务器虽无直接危害，但是它借助网站进行传播，使网站的使用用户受到攻击，导致网站用户帐号被窃取，从而对网站也产生了较严重的危害。
XSS类型包括：
(1)非持久型跨站：即反射型跨站脚本漏洞，是目前最普遍的跨站类型。跨站代码一般存在于链接中，请求这样的链接时，跨站代码经过服务端反射回来，这类跨站的代码不存储到服务端(比如数据库中)。上面章节所举的例子就是这类情况。
(2)持久型跨站：这是危害最直接的跨站类型，跨站代码存储于服务端(比如数据库中)。常见情况是某用户在论坛发贴，如果论坛没有过滤用户输入的Javascript代码数据，就会导致其他浏览此贴的用户的浏览器会执行发贴人所嵌入的Javascript代码。
(3)DOM跨站(DOM XSS)：是一种发生在客户端DOM(Document Object Model文档对象模型)中的跨站漏洞，很大原因是因为客户端脚本处理逻辑导致的安全问题。
XSS的危害包括：
(1)钓鱼欺骗：最典型的就是利用目标网站的反射型跨站脚本漏洞将目标网站重定向到钓鱼网站，或者注入钓鱼JavaScript以监控目标网站的表单输入，甚至发起基于DHTML更高级的钓鱼攻击方式。
(2)网站挂马：跨站时利用IFrame嵌入隐藏的恶意网站或者将被攻击者定向到恶意网站上，或者弹出恶意网站窗口等方式都可以进行挂马攻击。
(3)身份盗用：Cookie是用户对于特定网站的身份验证标志，XSS可以盗取到用户的Cookie，从而利用该Cookie盗取用户对该网站的操作权限。如果一个网站管理员用户Cookie被窃取，将会对网站引发巨大的危害。
(4)盗取网站用户信息：当能够窃取到用户Cookie从而获取到用户身份使，攻击者可以获取到用户对网站的操作权限，从而查看用户隐私信息。
(5)垃圾信息发送：比如在SNS社区中，利用XSS漏洞借用被攻击者的身份发送大量的垃圾信息给特定的目标群。
(6)劫持用户Web行为：一些高级的XSS攻击甚至可以劫持用户的Web行为，监视用户的浏览历史，发送与接收的数据等等。
(7)XSS蠕虫：XSS 蠕虫可以用来打 广告 、刷流量、挂马、恶作剧、破坏网上数据、实施DDoS攻击等。
常用的防止XSS技术包括：
(1)与SQL注入防护的建议一样，假定所有输入都是可疑的，必须对所有输入中的script、iframe等字样进行严格的检查。这里的输入不仅仅是用户可以直接交互的输入接口，也包括HTTP请求中的Cookie中的变量，HTTP请求头部中的变量等。
(2)不仅要验证数据的类型，还要验证其格式、长度、范围和内容。
(3)不要仅仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。
(4)对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。
(5)在发布应用程序之前测试所有已知的威胁。
常见的操作系统漏洞三、 弱口令漏洞
弱口令(weak password) 没有严格和准确的定义，通常认为容易被别人(他们有可能对你很了解)猜测到或被解除工具解除的口令均为弱口令。设置密码通常遵循以下原则：
(1)不使用空口令或系统缺省的口令，这些口令众所周之，为典型的弱口令。
(2)口令长度不小于8个字符。
(3)口令不应该为连续的某个字符(例如：AAAAAAAA)或重复某些字符的组合(例如：tzf.tzf.)。
(4)口令应该为以下四类字符的组合，大写字母(A-Z)、小写字母(a-z)、数字(0-9)和特殊字符。每类字符至少包含一个。如果某类字符只包含一个，那么该字符不应为首字符或尾字符。
(5)口令中不应包含本人、父母、子女和配偶的姓名和出生日期、纪念日期、登录名、E-mail地址等等与本人有关的信息，以及字典中的单词。
(6)口令不应该为用数字或符号代替某些字母的单词。
(7)口令应该易记且可以快速输入，防止他人从你身后很容易看到你的输入。
(8)至少90天内更换一次口令，防止未被发现的入侵者继续使用该口令。
常见的操作系统漏洞四、 HTTP报头追踪漏洞
HTTP/1.1(RFC2616)规范定义了HTTP TRACE方法，主要是用于客户端通过向Web服务器提交TRACE请求来进行测试或获得诊断信息。当Web服务器启用TRACE时，提交的请求头会在服务器响应的内容(Body)中完整的返回，其中HTTP头很可能包括Session Token、Cookies或 其它 认证信息。攻击者可以利用此漏洞来欺骗合法用户并得到他们的私人信息。该漏洞往往与其它方式配合来进行有效攻击，由于HTTP TRACE请求可以通过客户浏览器脚本发起(如XMLHttpRequest)，并可以通过DOM接口来访问，因此很容易被攻击者利用。
防御HTTP报头追踪漏洞的方法通常禁用HTTP TRACE方法。
常见的操作系统漏洞五、 Struts2远程命令执行漏洞
Apache Struts是一款建立Java web应用程序的开放源代码架构。Apache Struts存在一个输入过滤错误，如果遇到转换错误可被利用注入和执行任意Java代码。
网站存在远程代码执行漏洞的大部分原因是由于网站采用了Apache Struts Xwork作为网站应用框架，由于该软件存在远程代码执高危漏洞，导致网站面临安全风险。CNVD处置过诸多此类漏洞，例如：“GPS车载卫星定位系统”网站存在远程命令执行漏洞(CNVD-2012-13934);Aspcms留言本远程代码执行漏洞(CNVD-2012-11590)等。
修复此类漏洞，只需到Apache官网升级Apache Struts到最新版本：
常见的操作系统漏洞六、 框架钓鱼漏洞(框架注入漏洞)
框架注入攻击是针对Internet Explorer 5、Internet Explorer 6、与 Internet Explorer 7攻击的一种。这种攻击导致Internet Explorer不检查结果框架的目的网站，因而允许任意代码像Javascript或者VBScript跨框架存取。这种攻击也发生在代码透过多框架注入，肇因于脚本并不确认来自多框架的输入。这种其他形式的框架注入会影响所有的不确认不受信任输入的各厂商浏览器和脚本。
如果应用程序不要求不同的框架互相通信，就可以通过完全删除框架名称、使用匿名框架防止框架注入。但是，因为应用程序通常都要求框架之间相互通信，因此这种方法并不可行。 因此，通常使用命名框架，但在每个会话中使用不同的框架，并且使用无法预测的名称。一种可行的方法是在每个基本的框架名称后附加用户的会话令牌，如main_display。
常见的操作系统漏洞七、 文件上传漏洞
文件上传漏洞通常由于网页代码中的文件上传路径变量过滤不严造成的，如果文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，攻击者可通过 Web 访问的目录上传任意文件，包括网站后门文件(webshell)，进而远程控制网站服务器。
因此，在开发网站及应用程序过程中，需严格限制和校验上传的文件，禁止上传恶意代码的文件。同时限制相关目录的执行权限，防范webshell攻击。
常见的操作系统漏洞八、 应用程序测试脚本泄露
由于测试脚本对提交的参数数据缺少充分过滤，远程攻击者可以利用洞以WEB进程权限在系统上查看任意文件内容。防御此类漏洞通常需严格过滤提交的数据，有效检测攻击。
常见的操作系统漏洞九、 私有IP地址泄露漏洞
IP地址是网络用户的重要标示，是攻击者进行攻击前需要了解的。获取的方法较多，攻击者也会因不同的网络情况采取不同的方法，如：在局域网内使用Ping指令，Ping对方在网络中的名称而获得IP;在Internet上使用IP版的QQ直接显示。最有效的办法是截获并分析对方的网络数据包。攻击者可以找到并直接通过软件解析截获后的数据包的IP包头信息，再根据这些信息了解具体的IP。
针对最有效的“数据包分析方法”而言，就可以安装能够自动去掉发送数据包包头IP信息的一些软件。不过使用这些软件有些缺点，譬如：耗费资源严重，降低计算机性能;访问一些论坛或者网站时会受影响;不适合网吧用户使用等等。现在的个人用户采用最普及隐藏IP的方法应该是使用代理，由于使用代理服务器后，“转址服务”会对发送出去的数据包有所修改，致使“数据包分析”的方法失效。一些容易泄漏用户IP的网络软件(QQ、MSN、IE等)都支持使用代理方式连接Internet，特别是QQ使用“ezProxy”等代理软件连接后，IP版的QQ都无法显示该IP地址。虽然代理可以有效地隐藏用户IP，但攻击者亦可以绕过代理，查找到对方的真实IP地址，用户在何种情况下使用何种方法隐藏IP，也要因情况而论。
常见的操作系统漏洞十、 未加密登录请求
由于Web配置不安全，登陆请求把诸如用户名和密码等敏感字段未加密进行传输，攻击者可以窃听网络以劫获这些敏感信息。建议进行例如SSH等的加密后再传输。
常见的操作系统漏洞十一、 敏感信息泄露漏洞
SQL注入、XSS、目录遍历、弱口令等均可导致敏感信息泄露，攻击者可以通过漏洞获得敏感信息。针对不同成因，防御方式不同。
0条大神的评论