Seringkali penyerang dapat menyisipkan kode atau menambah record baru di file system windows, seperti yang dilakukan banyak varian spyware yang menambah record dalam file host di system windows, yang menyebabkan browser seringkali menampilkan situs yang tidak dikehendaki.
cek file host system windows anda yang biasanya ada di :
C:\WINDOWS\system32\drivers\etc\.host
anda dapat membuka file ini dengan notepad, isi standarnya sbb:

# Copyright (c) 1993-1999 Microsoft Corp.

#

# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.

#

# This file contains the mappings of IP addresses to host names. Each

# entry should be kept on an individual line. The IP address should

# be placed in the first column followed by the corresponding host name.

# The IP address and the host name should be separated by at least one

# space.

#

# Additionally, comments (such as these) may be inserted on individual

# lines or following the machine name denoted by a '#' symbol.

#

# For example:

#

#      102.54.94.97     rhino.acme.com          # source server

#       38.25.63.10     x.acme.com              # x client host

127.0.0.1       localhost

jika terdapat entry ip yang mengarah ke situs yang tidak diinginkan, buang entry tersebut, kemudian scan system anda dengan antiSpyware update terbaru.

Custom Errors, fasilitas error reporting sebuah web server, dalam kondisi default web server akan menampilkan pesan kesalahan yang cukup detail, jika terjadi kesalahan logika atau syntax sebuah script, informasi ini berguna bagi web developer/web programmer untuk memperbaiki bug yang ada, namun informasi ini juga bisa sangat berbahaya jika diterima oleh penyerang/hacker.
Contoh saat script gagal dijalankan, pesan kesalahan akan menampilkan baris kesalahan, atau informasi tentang database engine yang digunakan.
Agar lebih aman buat custom errors, untuk menampung kemungkinan kesalahan yang terjadi

Input Validation, form input dalam halaman web selanjutnya akan diproses lebih lanjut oleh sebuah database engine, ada banyak karakter khusus dalam sql yang berbahaya jika tidak difilter dalam form input seperti wild card *, –, dan lain-lain. Pastikan untuk mengecek nilai sebuah form agar tidak mengandung karakter atau script yang dapat membahayakan. Contoh:

//Query umum untuk membaca table dengan input dari user

//mencari pass berdasarkan e-mail

SELECT passwd

FROM User

WHERE email='$email';

Contoh query ini akan berbahaya jika tidak ada validasi terhadap input yang dimasukkan user. Query ini akan menampilkan nilai passwd dari tabel user berdasarkan akun email yang diinput user, contoh testdonk@test.com.

// tapi coba bayangkan jika user mengetikkan data sbb:

// blabla' OR 'n'='n

// query lengkapnya akan seperti ini:

SELECT passwd

FROM User

WHERE email='blabla' OR 'n'='n';

apa yang terjadi ? filter e-mail tidak akan berarti karena meskipun alamat email yang diinput salah, query akan tetap menampilkan list passwd karena logika n=n akan bernilai true. Ini adalah contoh simple dari serangan SQL Injection yang sering terjadi.

File Permission, seringkali web server rentan karena setting file permission yang kurang tepat, contoh adalah file htaccess yang diset full untuk semua user, penyerang dapat menginjek script redirect kedalam htaccess sebuah situs. Contoh lain permission database yang diset full, kita ambil contoh dari script sql di atas:

// jika user memasukkan data 

// blahblah'; DROP TABLE User;--

// query lengkapnya menjadi

SELECT passwd

FROM User

WHERE email='blahblah'; DROP TABLE User;--';

ini akan lebih berbaya lagi, setelah proses seleksi dijalankan maka query menghapus table langsung dijalankan, jika database permission diset full, maka tabel user akan langsung terhapus.

Manajemen Cookies, protokol HTTP adalah sebuah Stateless protokol yang berarti setiap kali sebuah website dikunjungi akan memperlakukan setiap pengunjung sama seperti saat pertama kali pengunjung tersebut berkunjung ke website tersebut, karena HTTP tidak menyimpan setiap history website yang dibuka.
Untuk mendukung layanan website yang lebih kaya, HTTP menyertakan layanan seperti cookies, terdapat dua macam cookies :
1) Session Cookies, biasanya digunakan dalam website e-commerce, cookies ini menyimpan informasi sebuah sesi transaksi, setelah melalui proses check out / logout cookies ini otomatis dihapus.
2) Persistent Cookies, biasanya digunakan oleh websites yang dapat menampilkan tampilan yang dapat dipersonalisasi sesuai informasi dari pengunjung.

Cookies dapat diatur melalui berbagai cara, mulai dari mensetting browser agar tidak menerima cookies, dengan akibat beberapa websites mungkin tidak akan berjalan dengan normal, atau mensetting browser agar secara otomatis menghapus cookies setiap kali browser ditutup
tips:  Anda pengguna Firefox ?, gunakan short cut CTRL + SHIFT + DEL untuk menghapus cookies dan private data.