搭建一个web论坛应用，框架为apache+linux+mysql，用java语言开发，存在哪些安全风险
服务器应该用tomcat什么的吧，apache只能跑静态页面。至于说安全风险，就和其他网站差不多啊，sql注入什么的
LINUX真的很安全吗?
LINUX不是普通人用的操作系统..~~
防毒你就少开点垃圾网站..关掉些端口..
在下个卡巴...
如果LINUX真的很安全 大家都会用的话..
那谁还会用WINDOWS呢?你说是不是?
那我告诉你哦 LINUX相对WINDOWS说是安全..
你懂C语言么..这样可以自己给系统打补丁是很安全..他是公开源代码的...
Linux与Windows XX的总体比较
Linux何以备受青睐，致使除微软以外，国际上有名的硬、软件厂商都毫无例外地与之结盟、捆绑。甚至连世界IT的龙头老大“蓝后巨人”IBM也要“全面拥抱Linux”呢？
首先，Linux作为自由软件有两个特点：一是它免费提供源码，二是爱好者可以按照自己的需要自由修改、复制和发布程序的源码，并公布在Internet上。这就吸引了世界各地的操作系统高手为Linux编写各种各样的驱动程序和应用软件，使得Linux成为一种不仅只是一个内核，而且包括系统管理工具、完整的开发环境和开发工具、应用软件在内，用户很容易获得的操作系统。
由于可以得到Linux的源码，所以操作系统的内部逻辑可见，这样就可以准确地查明故障原因，及时采取相应对策。在必要的情况下，用户可以及时地为Linux打 “补丁”（这正是笔者前面文章中讨论的集市模式开发软件最本质的内容），这是其它操作系统所没有的优势。同时，这也使得用户容易根据操作系统的特点构建安全保障系统，不会由于不了解不公开源码的 “黑盒子”式的系统预留的什么 “后门”而受到意外的打击。
第二，究其根本，Linux是一个UNIX系统变种，因此也就具有了Unix系统的一系列优良特性，Unix上的应用可以很方便地移植到Linux平台上，这使得Unix用户很容易掌握Linux。下面简要地描述UNIX亦即Linux的一系列特色。
2.1 UNIX/Linux的主要特色
早期UNIX的主要特色是结构简炼、便于移植和功能相对强大，经过30来年的发展和进化，形成了一些极为重要并稳定的特色，其中主要包括：
1. 技术成熟，可靠性高
经过30来年开放式道路的发展，UNIX的一些基本技术已变得十分成熟，有的已成为各类操作系统的常用技术。实践表明，UNIX是能达到大型主机（mainframe）可靠性要求的少数操作系统之一。目前许多UNIX大型主机和服务器在国外的大型企业中每天24小时，每年365天不间断地运行。例如，不少大企业或政府部门，即所谓肩负关键使命的场合/部门将其整个企业/部门信息系统建立并运行在以UNIX为主服务器的Client/Server结构上。但到目前为止，世界上还没有一家大型企业将其重要的信息系统完全建立在NT上。
2. 极强的可伸缩性
UNIX系统是世界上唯一能在笔记本电脑、PC、工作站，直至巨型机上运行的操作系统，而且能在所有主要CPU芯片搭建的体系结构上运行（包括Intel/AMD及HP-PA、MIPS、PowerPC、UltraSPARC、ALPHA等RISC芯片）。至今为止，世界上没有第二个操作系统能达到这一点。此外，由于UNIX系统能很好地支持SMP、MPP和Cluster等技术，使其可伸缩性又有了很大的增强。目前，商品化UNIX系统能支持的SMP，CPU数已达到几百甚至更多个，MPP系统中的节点甚至已超过1024个UNIX支持的异种平台Cluster技术也已投入使用。UNIX的伸缩性远远超过了NT操作系统目前所能达到的水平
3. 网络功能强
网络功能是UNIX系统的一又一重要特色，作为Internet网技术和异种机连接重要手段的TCP/IP协议就是在UNIX上开发和发展起来的。TCP/IP是所有UNIX系统不可分割的组成部分。因此，UNIX服务器在Internet服务器中占80％以上，占绝对优势。此外，UNIX还支持所有常用的网络通信协议，包括NFS、DCE、IPX/SPX、SLIP、PPP等，使得UNIX系统能方便地与已有的主机系统，以及各种广域网和局域网相连接，这也是UNIX具有出色的互操作性（Interoperability）的根本原因。
4. 强大的数据库支持能力
由于UNIX具有强大的支持数据库的能力和良好的开发环境，因此多年来，所有主要数据库厂商，包括Oracle、Informix、Sybase、Progress等，都把UNIX作为主要的数据库开发和运行平台，并创造出一个又一个性价比的新记录。UNIX服务器正在成为大型企业数据中心替代大型主机的主要平台。
5. 开发功能强
UNIX系统从一开始就为软件开发人员提供了丰富的开发工具。成为工程工作站的首选和主要的操作系统和开发环境。可以说，工程工作站的出现和成长与UNIX是分不开的。至今为止，UNIX工作站仍是软件开发厂商和工程研究设计部门的主要工作平台。有重大意义的软件新技术的出现几乎都在UNIX上，如TCP/IP、WWW、OODBMS等。
6. 开放性好
开放性是UNIX最重要的本质特性。开放系统概念的形成与UNIX是密不可分的。UNIX是开放系统的先驱和代表。由于开放系统深入人心，几乎所厂商都宣称自己的产品是开放系统，确实每一种系统都能满足某种开放的特性，如可移植性、可兼容性、可伸缩性、互操作性等。但所有这些系统与开放系统的本质特征—不受某些厂商的垄断和控制相去甚远，只有UNIX完全符合这一条件。
7. 标准化
过去，Unix界被分析家和用户批判，因为没有为所有Unix操作系统提供统一的标准。其实，到目前为止，国际标准化组织（ISO）、工业团体恰恰是以UNIX基础制订了一系列标准化，如ISO/IEC的POSIX标准、IEEE POSIX标准、X/Open组织的XPG3/4工业标准以及后来的Spec 1170(因为它包含了1170个应用编程接口，后来改名为UNIX’95)标准。不少人对标准及标准化组织的作用及职权产生了误解。事实上，当标准化组织企图驾驭互相竞争的力量，和企图为用户规定他们的要求时是注定要失败的。比方说，标准只能用于给出道路的规则，而不应用于制造汽车。如果厂家被强迫完全遵从单一的标准，而不允许他们产品有特色，则用户将受害，Unix将变成象任何单一厂家的产品一样，没有任何特色。
Unix标准组织的真实目标是为用户和厂家定义一种规定Unix形态的基础。标准将保证Unix系统是可操作的，并且其应用是便于移植的。但它们也允许相互竞争的开放开发环境能创新和具有技术特色。
当然，由于UNIX是有版权的，而且其源头有多家，许多厂家自行开发，并强调特色而导致UNIX版本的不统一（相比之下，Linux的核心是统一的，各发行厂家只是在外部作了不同程度的开发，但又都要遵循POSIX等标准，所以不会存在UNIX那种四分五裂的表象）。即便如此，Unix系统已经提供了比任何其他操作系统更多的可互操作性。公共的联网和系统管理协议允许用户方便地混用和匹配多种Unix系统。从一种Unix向另一种Unix移植应用只需几天时间，而在完全不同的操作系统间移植或重写代码需要几个月甚至几年时间。
而且Unix工业界还在快速地向前发展，使得互操作性和可移植性更为方便。由独立的X/Open组织管理的Unix’95为操作系统厂家和应用开发商规定了商品Unix的形态。所有的Unix厂家已经从Unix’95规格说明。
开发或购买遵从Unix’95规格的应用可保证用户方便地从一个Unix操作系统向另一个移植。但并不强迫用户购买只遵从Unix’95规格的产品,用户可以开发和遵从开放且自由竞争的市场购买具有新的扩充的产品,以满足自己特殊的需要。
这样，Unix工业界再次为用户提供了选择的权力。如果伸缩性和移植性对用户的业务是最重要的，用户可以选择遵从Unix’95的应用；如果先进技术是关键，则用户可选择某一厂家具有新扩充的应用，当然这些扩充尚未成为标准。
由于Unix不断发展，因此，Unix’95标准将继续发展以接纳某些厂家的创新。
2.2 Linux和Windows XX相比有何特点
1. 可完全免费得到
Linux操作系统可以从互联网上免费下载使用，只要您有快速的网络连接就行；而且，Linux上跑的绝大多数应用程序也是免费可得的。用了Linux就再也不用背”使用盗版软件”的黑锅了。
2. 可以运行在386以上及各种RISC体系结构机器上
Linux最早诞生于微机环境，一系列版本都充分利用了X86CPU的任务切换能力，使X86CPU的效能发挥得淋淋尽致，而这一点连Windows都没有做到。此外，它可以很好地运行在由各种主流RISC芯片（ALPHA、MIPS、PowerPC、UltraSPARC、HP-PA等）搭建的机器上。
3. Linux是UNIX的完整实现
从发展的背景看，Linux与其他操作系统的区别是，Linux是从一个比较成熟的操作系统发展而来的，而其他操作系统，如WindowsNT等，都是自成体系，无对应的相依托的操作系统。这一区别使得Linux的用户能大大地从Unix团体贡献中获利。无论是Unix的作者还是Unix的用户，都认为只有Unix才是一个真正的操作系统，许多计算机系统（从个人计算机到超级计算机）都存在Unix版本，Unix的用户可以从很多方面得到支持和帮助。因此，Linux作为Unix的一个克隆，同样会得到相应的支持和帮助，直接拥有Unix在用户中建立的牢固的地位。
UNIX上的绝大多数命令都可以在Linux里找到并有所加强。UNIX的可靠性、稳定性以及强大的网络功能也在Linux身上一一体现。
4. 真正的多任务多用户
只有很少的操作系统能提供真正的多任务能力，尽管许多操作系统声明支持多任务，但并不完全准确，如Windows。而Linux则充分利用了X86CPU的任务切换机制，实现了真正多任务、多用户环境，允许多个用户同时执行不同的程序，并且可以给紧急任务以较高的优先级。
5. 完全符合POSIX标准
POSIX是基于UNIX的第一个操作系统簇国际标准，Linux遵循这一标准这使UNIX下许多应用程序可以很容易地移植到Linux下，相反也是这样。
6. 具有图形用户界面
Linux的图形用户界面是Xwindow系统。Xwindow可以做MSWindows下的所有事情，而且更有趣、更丰富，用户甚至可以在几种不同风格的窗口之间来回切换。
7. 具有强大的网络功能
实际上，Linux就是依靠互联网才迅速发展了起来，Linux具有强大的网络功能也是自然而然的事情。它可以轻松地与TCP/IP、LANManager、Windows for Workgroups、Novell Netware或Windows NT网络集成在一起，还可以通过以太网或调制解调器连接到Internet上。
Linux不仅能够作为网络工作站使用，更可以胜任各类服务器，如X应用服务器、文件服务器、打印服务器、邮件服务器、新闻服务器等等。
8. 是完整的UNIX开发平台
Linux支持一系列的UNIX开发工上，几乎所有的主流程序设计语言都已移植到Linux上并可免费得到，如C、C++、Fortran77、ADA、PASCAL、Modual2和3、Tcl/TkScheme、SmallTalk/X等。
总而言之，Unix就是可供各种用户选择的对象。一个操作系统已经使分布式计算成为现实。一个操作系统正在使新形式的交互娱乐成为现实并正确领导通向新的工程和商业应用的路。这就是Unix所体现的精神。但Unix还不止于此。主要地，Unix给用户选择最佳应用、最佳开发环境、最佳网络功能和最佳硬件的自由，以满足用户的业务要求。Unix还给用户选择何时升级系统的自由，甚至当用户改变主意时，用户可以以最少的痛苦来安装一个新系统，只要业务需要。
Unix专门献身于使用户保持选择的权力。
三、 主要产品的竞争
上面我们从总体上讲述了UNIX从而也是Linux的特点，下面我们从服务器，桌面机和嵌入式三个不同层面上来比较Linux与Windows之间的优缺点、强项和弱处。
3.1服务器操作系统——Linux与NT
服务器是涉及一大类机器的统称，最高端，用作超级计算或顶级企业和网络服务器的MPP（大规模并行处理机）、SMP（对称多处理机）、Cluster(集群机)，Mainframe(大型主机)；到普通商用数据库服务器的中型机，如IBM AS/400，中高档服务器如IBM RS/6000/系列机，HP 9000/K系列，SUN Ultra SPARC中高档服务器（如10000系列）、SGI的1000系列等。以及低端，用作邮件、文件/打印服务器等的普通PC服务器，门类繁多，不一而足。在这方面Linux都有其产品，而NT基本上是处于PC服务器档次上的操作系统
如何测试XSS漏洞
XSS跨站漏洞分为大致三种：储存型XSS，反射型XSS，和DOM型XSS，一般都是由于网站对用户输入的参数过滤不严格而调用浏览器的JS而产生的。XSS几乎每个网站都存在，google，百度，360等都存在，存在和危害范围广，危害安全性大。
具体利用的话：
储存型XSS，一般是构造一个比如说"scriptalert("XSS")/script"的JS的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。
反射型XSS，一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="scriptalert("xss")/script，也是弹窗JS代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。
dom型：常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。
缺点：
1、耗时间
2、有一定几率不成功
3、没有相应的软件来完成自动化攻击
4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.0等语言的功底
5、是一种被动的攻击手法
6、对website有http-only、crossdomian.xml没有用
所以楼主如果想更加深层次的学习XSS的话，最好有扎实的前后端开发基础，还要学会代码审计等等。
推荐的话，书籍建议看看《白帽子讲web安全》，《XSS跨站脚本攻击剖析与防御》
一般配合的话，kalilinux里面的BEFF是个很著名的XSS漏洞利用工具，楼主有兴趣可以去看看。
纯手工打字，望楼主采纳。
防黑加固Linux服务器安全加固？
使用一些安全测试的办法与工具对服务器进行风险检测，找出服务器的脆弱点以及存在的安全缺陷。
针对服务器操作系统自身的安全测试，包括一些系统配置、主机漏洞扫描等等
查看服务器操作系统当前用户是否为root用户，尽量避免使用root用户登录，启动其他服务程序，除非是一些需要root权限的安全工具，前提需要保证工具来源可信。终端需要 who 既可以查看当前登录用户。
登录到Linux系统，此时切换到root用户，下载lynis安全审计工具，切换到lynis运行脚本目录，执行 ./lynis --check-all –Q 脚本语句，开始对本地主机扫描审计，等待扫描结束，查看扫描结果。
登录到Linux系统，切换到root用户，使用命令行方式安装Clamav 杀毒软件，安装完毕需要更新病毒库，执行扫描任务，等待扫描结束获取扫描结果，根据扫描结果删除恶意代码病毒；
登录到Linux系统，切换到root用户，下载Maldetect Linux恶意软件检测工具，解压缩后完成安装。运行扫描命令检测病毒，等待扫描结束获取扫描报告，根据扫描报告删除恶意病毒软件；
登录到Linux系统，切换到root用户，下载Chkrootkit后门检测工具包，解压缩后进入 Chkrootkit目录，使用gcc安装Chkrootkit，安装成功即开始Chkrootkit扫描工作，等待扫描结束，根据扫描结果恢复系统；
登录到Linux系统，切换到root用户，下载RKHunter 后门检测工具包，解压缩后进入 RKHunter 目录，执行命令安装RKHunter ，安装成功即开始启用后门检测工作，等待检测结束，根据检测报告更新操作系统，打上漏洞对应补丁；
使用下面工具扫描Web站点：nikto、wa3f、sqlmap、safe3 … …
扫描Web站点的信息：操作系统类型、操作系统版本、端口、服务器类型、服务器版本、Web站点错误详细信息、Web目录索引、Web站点结构、Web后台管理页面 …
测试sql注入，出现几个sql注入点
测试xss攻击，出现几个xss注入点
手动测试某些网页的输入表单，存在没有进行逻辑判断的表单，例如：输入邮箱的表单，对于非邮箱地址的输入结果，任然会继续处理，而不是提示输入错误，返回继续输入。
针对风险测试后得到的安全测试报告，修复系统存在的脆弱点与缺陷，并且进一步加强服务器的安全能力，可以借助一些安全工具与监控工具的帮助来实现。
对服务器本身存在的脆弱性与缺陷性进行的安全加固措施。
使用非root用户登录操作系统，使用非root用户运行其他服务程序，如：web程序等；
web权限，只有web用户组用户才能操作web应用，web用户组添加当前系统用户；
数据库权限，只有数据库用户组用户才能操作数据库，数据库用户组添加当前系统用户；
根据安全审计、恶意代码检查、后门检测等工具扫描出来的结果，及时更新操作系统，针对暴露的漏洞打上补丁。
对于发现的恶意代码病毒与后门程序等及时删除，恢复系统的完整性、可信行与可用性。
部署在服务器上的Web站点因为程序员编写代码时没有注意大多的安全问题，造成Web服务站点上面有一些容易被利用安全漏洞，修复这些漏洞以避免遭受入侵被破坏。
配置当前服务器隐藏服务器信息，例如配置服务器，隐藏服务器类型、服务器的版本、隐藏服务器管理页面或者限制IP访问服务器管理页面、Web站点错误返回信息提供友好界面、隐藏Web索引页面、隐藏Web站点后台管理或者限制IP访问Web站点后台。
使用Web代码过滤sql注入或者使用代理服务器过滤sql注入，这里更加应该使用Web代码过滤sql注入，因为在页面即将提交给服务器之前过滤sql注入，比sql注入到达代理服务器时过滤，更加高效、节省资源，用户体验更好，处理逻辑更加简单。
如何搭建一个含有慢速ddos，xss，sql注入，文件上传等漏洞的网站
如何搭建一个含有慢速ddos，xss，sql注入，文件上传等漏洞的网站
XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。