1.漏洞的普遍性，由于信息產(chǎn)業(yè)的快速發(fā)展，大多數(shù)軟件、網(wǎng)站和信息系統(tǒng)的開發(fā)不是從零開始的，而是由一些現(xiàn)成的開發(fā)平臺(tái)或開源代碼開發(fā)的。在這種情況下，使用同一系統(tǒng)平臺(tái)或同一開源代碼開發(fā)的軟件，網(wǎng)站和信息系統(tǒng)往往存在相同或相似的安全漏洞。這種共同或相似的漏洞是通用漏洞。

2.事件漏洞事件漏洞主要是指軟件、網(wǎng)站和信息系統(tǒng)中的特定和獨(dú)特漏洞。這個(gè)漏洞的出現(xiàn)是非常偶然的，只與相關(guān)軟件、網(wǎng)站或信息系統(tǒng)本身的開發(fā)過程和運(yùn)維過程有關(guān)，不會(huì)在其他地方復(fù)制。例如：常見的弱密碼問題、業(yè)務(wù)邏輯漏洞、系統(tǒng)設(shè)置不當(dāng)?shù)葐栴}，一般歸因于事件漏洞。從歷史經(jīng)驗(yàn)來看，90%以上的軟件、網(wǎng)站或信息系統(tǒng)都存在事件安全漏洞。當(dāng)系統(tǒng)開發(fā)平臺(tái)出現(xiàn)安全漏洞時(shí)，幾乎所有使用該平臺(tái)開發(fā)的軟件、網(wǎng)站或信息系統(tǒng)都會(huì)同時(shí)出現(xiàn)安全漏洞。

3.0day漏洞0day漏洞也叫零日漏洞。它指的是已知但廠家尚未修復(fù)的安全漏洞。理論上，攻擊者利用0day漏洞發(fā)動(dòng)攻擊幾乎是不可防御的。但由于很難發(fā)現(xiàn)0day漏洞，一旦安全機(jī)構(gòu)發(fā)現(xiàn)，0day漏洞將立即失效。因此，如果網(wǎng)絡(luò)攻擊者持有0day漏洞，他們通常不會(huì)普通人，而是用于攻擊高價(jià)值目標(biāo)。此外，如果制造商已經(jīng)提供了補(bǔ)丁，但由于各種原因，相關(guān)軟件、系統(tǒng)或設(shè)備沒有填補(bǔ)這些補(bǔ)丁的漏洞，因?yàn)樗鼈兛梢员挥行У毓艉褪褂?，這將成為Nday漏洞。

隨著大數(shù)據(jù)時(shí)代的到來，各行業(yè)的信息數(shù)據(jù)存儲(chǔ)量急劇增加，數(shù)據(jù)庫逐漸從后端發(fā)展到前端，從局域網(wǎng)到互聯(lián)網(wǎng)，從特定的物理事物到虛擬。數(shù)據(jù)庫廣泛應(yīng)用于各種新場(chǎng)景，但它的發(fā)展也給了黑客更多的入侵機(jī)會(huì)。常見的數(shù)據(jù)庫漏洞主要包括數(shù)據(jù)庫特權(quán)提升、數(shù)據(jù)庫敏感數(shù)據(jù)未加密、數(shù)據(jù)庫配置錯(cuò)誤。

4.數(shù)據(jù)庫特權(quán)的提升來自內(nèi)部黑客的攻擊可能會(huì)使攻擊者擁有額外的系統(tǒng)權(quán)限，而外部黑客可以破壞操作系統(tǒng)以獲得額外的權(quán)限。一般來說，常見的漏洞是關(guān)于數(shù)據(jù)庫的錯(cuò)誤配置：用戶被額外授予實(shí)際工作需求的系統(tǒng)、數(shù)據(jù)庫等訪問權(quán)限。此外，即使沒有數(shù)據(jù)庫的相關(guān)憑證，內(nèi)部攻擊者或控制受害者機(jī)器的外部攻擊者也可以在應(yīng)用程序和數(shù)據(jù)庫之間輕松跳轉(zhuǎn)。

5.數(shù)據(jù)庫敏感數(shù)據(jù)沒有加密。如果備份磁帶在存儲(chǔ)過程中意外丟失，信息沒有加密，一旦丟失，攻擊者可以攻擊數(shù)據(jù)庫，而無需使用網(wǎng)絡(luò)。這種攻擊更有可能發(fā)生在向黑客出售數(shù)據(jù)庫磁帶的內(nèi)部管理員身上，黑客只要安裝磁帶就可以獲得數(shù)據(jù)庫。

6.在數(shù)據(jù)庫配置的實(shí)際生產(chǎn)環(huán)境中，由于賬戶配置參數(shù)或現(xiàn)有漏洞，許多數(shù)據(jù)庫問題通常需要數(shù)據(jù)庫管理員合理配置參數(shù)。