请问黑客攻击web及盗取账号密码的常见思路？web交易安全防范策略？如锁定机器的方案等

Question

我是web虚拟交易平台开发者，近段时间出现好几起账户资金被盗的案件，程序没有查到明显的漏洞，备感疑惑；攻击者盗取了用户的账号密码，甚至支付密码！试问盗号除开木马植入、抓包解析鉴权机制，还有什么比较高明的方式？如能协助发现问题，不胜感激！

Answer 1

常见的有：
1. SQL注入
2. XSS 攻击
3. 其他可能还有使用程序大量尝试破解密码等等。