微步在线云 API

漏洞分类说明

#	分类中文名称	分类技术说明
1	命令注入	攻击者通过注入恶意命令来执行系统命令、访问敏感数据、篡改系统配置等，从而获取系统权限、操纵应用程序、传播恶意软件。
2	代码注入	允许攻击者将恶意代码注入到应用程序中，从而执行任意命令或操作，可能导致系统崩溃、数据损坏或未经授权的访问。
3	权限提升	攻击者利用该漏洞可能获取更高的权限级别，达到绕过访问控制、横向移动以及在系统中保持持久访问效果，最终导致数据窃取、拒绝服务、后门植入等危害。
4	未授权访问	攻击者通过利用未经授权的访问权限，可能导致敏感信息泄露、篡改数据，获取对系统的完全控制。
5	文件包含	攻击者能够包含恶意文件，可能导致远程执行恶意代码、系统被控制、敏感信息泄露。
6	文件读取	攻击者可以利用该漏洞来获取敏感数据、窃取用户信息、发起更高级的攻击，甚至导致系统完全被控制。
7	文件删除	攻击者能够删除未授权的文件，可能导致数据丢失、系统崩溃、服务不可用等，破坏数据完整性、瘫痪系统运行、引发数据丢失，造成业务中断和损失。
8	文件上传	攻击者上传恶意文件到目标系统，可能导致远程执行恶意代码、传播恶意软件、窃取敏感信息，甚至获取对系统的完全控制。
9	文件下载	攻击者可通过该漏洞下载系统重要文件（如数据库配置文件,系统配置文件），并配合下载文件内容顺利进入数据库或者系统的敏感信息，导致网站或者服务器沦陷。
10	信任管理	攻击者能够绕过或篡改应用程序的信任机制，冒充合法用户获取获取高权限访问、执行恶意代码等，绕过应用程序的安全控制，对系统进行操纵。
11	信息泄露	攻击者通过未授权获取信息，导致用户凭据、敏感业务数据、系统配置等信息泄露，从而进行针对性攻击、社会工程学欺诈或其他恶意行为。
12	远程代码执行	攻击者可以利用远程代码执行漏洞来执行恶意代码，从而获取系统权限、操纵应用程序、传播恶意软件。
13	JNDI注入	攻击者篡改Java命名和目录接口（JNDI）的上下文，可能导致执行任意命令、获取敏感信息、控制应用程序的上下文环境，从而对系统进行恶意操作.
14	SQL注入	攻击者除了可以利用 SQL 注入漏洞获取数据库中的信息（例如，管理员后台密码,站点的用户个人信息）之外，甚至在高权限的情况可向服务器中写入木马，进一步获取服务器系统权限。
15	XXE 注入	攻击者可以利用该漏洞来读取敏感文件、执行任意命令、发起远程攻击，甚至导致整个系统的瘫痪。
16	表达式注入	攻击者执行恶意代码或修改应用程序的表达式，可能导致远程代码执行、系统崩溃、敏感数据泄露等。
17	参数注入	攻击者将恶意代码注入到应用程序的参数中，从而执行未经授权的操作，可能导致数据泄露、系统崩溃、远程执行恶意代码和未授权访问等危害。
18	模板注入	攻击者插入恶意代码到应用程序的模板中，可能导致远程代码执行、敏感信息泄露、系统崩溃。
19	逻辑缺陷	攻击者绕过预期的控制流程，执行未经授权的操作。这可能导致数据泄露、未经授权访问、恶意操作、系统崩溃等危害，破坏应用程序的完整性和可用性，甚至可能导致整个系统的崩溃。
20	权限管理错误	攻击者利用该漏洞绕过权限限制，导致未经授权的访问、信息泄露、系统崩溃等危害。该漏洞对应用程序和系统的安全性构成重大威胁，可能引发数据泄露、滥用权限、远程代码执行等风险，导致系统完整性和机密性的丧失。
21	身份鉴别错误	攻击者绕过身份验证机制，获取未经授权的访问权限。这可能导致数据泄露、未经授权访问、恶意操作、系统崩溃等危害，攻击者可以冒充合法用户、窃取敏感信息、篡改数据，甚至获取对系统的完全控制。
22	服务端请求伪造	攻击者伪造请求可能绕过防火墙、访问内部资源、攻击内部系统，甚至发起进一步的攻击。
23	竞争条件	攻击者可以利用竞争条件来同时访问和修改共享资源，导致数据的不一致性、损坏或丢失，同时可能利用该漏洞来绕过安全措施、执行未授权的操作或导致系统崩溃。
24	拒绝服务	攻击者利用拒绝服务漏洞使目标系统不可用，导致停机时间、业务损失和声誉损害。
25	跨站脚本	攻击者通过在网页中注入恶意脚本，当用户访问受影响页面时，这些脚本会在用户浏览器中执行，导致用户会话劫持、信息窃取、恶意操作等。
26	跨站请求伪造	攻击者通过构造恶意请求并诱使受害者执行，导致在用户无感知情况下执行任意操作，如更改密码、发起转账、删除数据等。
27	路径遍历	攻击者可能通过浏览目录结构，访问到某些隐秘文件包括配置文件,日志,源代码等，配合其它漏洞的综合利用，攻击者可以轻易的获取更高的权限。
28	代码问题	攻击者利用存在代码问题漏洞，可能造成远程代码执行、敏感数据泄露、拒绝服务等的危害；可能导致系统崩溃等危害，破坏应用程序的完整性和可用性。
29	配置错误	攻击者可以利用该漏洞来发现敏感信息、绕过安全措施、执行恶意操作等，从而获取系统权限、篡改数据或远程控制系统。
30	输入验证	攻击者注入恶意数据、绕过输入验证机制，可能引发数据损坏、用户隐私泄露、系统被控制等风险。
31	数字错误	攻击者可以利用该漏洞来修改数据、绕过安全检查、执行未经授权的操作等，从而破坏应用程序的完整性、可用性和机密性。
32	格式化字符串	攻击者可以通过控制格式化字符串的内容，实现内存损坏、函数调用劫持、信息泄露等恶意行为。
33	缓冲区错误	攻击者能够通过输入超出缓冲区边界的数据，覆盖关键数据、修改程序流程，从而导致远程执行恶意代码、系统崩溃、拒绝服务等。
34	加密问题	攻击者可能破解或绕过加密算法，获取敏感信息，例如用户的个人信息、敏感配置等信息等。
35	未充分验证数据可靠性	攻击者向应用程序输入恶意或异常数据，可能导致代码执行漏洞、拒绝服务攻击、系统崩溃等。
36	注入	攻击者利用注入漏洞可能导致敏感数据泄露、数据篡改、服务器攻击和执行恶意代码，造成个人隐私泄露、业务中断和系统崩溃等严重危害。
37	DLL劫持	攻击者能够替换或加载恶意动态链接库（DLL），以获取系统或应用程序的控制权。攻击者可以利用该漏洞执行恶意代码、窃取敏感信息、操纵应用程序行为等
38	资源管理错误	攻击者能够滥用应用程序的资源管理机制，可能导致占用大量系统资源、导致应用程序无法正常运行，甚至使整个系统无法响应。
39	其他	其他漏洞类型是非常用通用漏洞类型，攻击者利用成功后，可能导致代码执行漏洞、拒绝服务攻击、系统崩溃等危害，从而破坏应用程序的完整性、可用性和机密性。

云API是北京微步在线科技有限公司旗下产品了解微步在线《用户服务条款》《数据保护政策》

联系我们：api@threatbook.cn

#漏洞分类说明

漏洞分类说明