SQL Injection（正確解釋應為”SQL 指令植入式攻擊”）所針對之攻擊目標既非資料
庫本身亦非作業系統或網站伺服器本身之漏洞來進行，而是一種未做好輸入驗證 (Input
Validation)的問題；在撰寫應用程式時，沒有對使用者的輸入做妥善的過濾與處理，便將
其組合成SQL指令，傳送給SQL server執行。若使用者輸入之資料中含有某些對資料庫系統
有特殊意義的符號或命令時，便可能讓使用者有機會對資料庫系統下達指令，而造成入侵
所帶來的損失。然而事實上，這樣的疏漏並不是資料庫系統的錯誤，而是程式設計師或軟
體開發者的疏忽所產生的。故這般的 SQL Request 指令會被防火牆或是 IDS （入侵偵測
系統）視為一般正常的 TCP 連線而忽略掉，也因此可以輕鬆的繞過重重嚴密的安全檢驗。
Reference:http://www.cert.org.tw/document/column/show.php?key=96
Reference:http://www.microsoft.com/Taiwan/sql/SQL_Injection_G1.htm
跨網站攻擊程式 (XSS)
指的是一種能夠威脅任何網站應用的形式，而它的嚴重性往往被低估了；這個問題所帶來的影響遠超過突如其來的打擾或惡作劇。透過擷取您的 cookies
資料(一種儲存在個人瀏覽器的暫存資訊)，跨網站攻擊程式能夠讓攻擊者取得您網站的管理者權限。
這是如何發生的呢？這個問題的形式是當一
個網站應用程式(例如PHP程式)在還沒過濾使用者提供的資訊就顯示在畫面中，如果一個使用者上傳了留言、評論或甚至是一個帳號與密碼，如果這些資訊接下
來會顯示在網頁中，那麼其中可能就包含了應該被濾除的內容。這些內容也許是無傷大雅的(例如惡作劇)，也或者會是嘗試要取得私人資訊的惡意程式碼，藉此闖
入您的系統。通常這些內容會以程式碼的形式存在，因此才會取名為 '跨網站攻擊程式'。
Reference:http://twpug.net/modules/smartsection/item.php?itemid=34
相關:http://ha.ckers.org/xss.html
文章定位：
