书籍介绍
这本书最独特的地方，不在于它教会你多少种攻击技巧，而在于它反复强调一个观点：安全工程师的核心竞争力，不是独占多少个漏洞、掌握多少技术，而是对安全理解的深度，以及看待安全问题的角度与高度。作者吴翰清（白帽子）用大量真实线上案例，把编码、转义、浏览器解析漏洞这些“藏在暗处”的细节摊开讲，让读者“知其然”更“知其所以然”。它适合两类人：想建立系统安全世界观的开发者，以及需要为产品做安全决策的工程师。但也要提醒：它偏技术入门与思路启发，若你期待面面俱到的权威指南，可能会觉得“没什么用”；真正吸收多少，仍取决于个人修行。
作者简介
吴翰清，毕业于西安交通大学少年班，从2000年开始研究网络攻防技术。在大学期间创立了在中国安全圈内极具影响力的组织“幻影”。
AI导读
核心看点
- 系统梳理XSS、CSRF等Web常见漏洞原理与攻防实战技巧。
- 提出白帽子兵法，如纵深防御、数据与代码分离等核心安全原则。
- 强调安全是动态运营过程，需结合业务场景进行持续风险评估。
读者共识
- 作者安全世界观深刻，重道轻术，有助于提升安全思维高度。
- 内容覆盖面广但体系性稍弱，部分章节对老手而言略显鸡肋。
- 作为入门读物尚可，但实战深度不足，建议搭配其他书籍学习。
精彩摘录
- "Secure By Default 原则； 纵深防御原则； 数据与代码分离原则； 不可预测性原则。"
- "方案的实施周期"
- "安全和业务并不冲突，安全也应该是产品的一种属性，一个从未考虑过安全的产品，是不完整的"
- "<script><img><iframe><link>标签都是可以跨域家在资源，不受同源策略的限制。这些带‘src’属性的标签每次加载的时候，实际上是由浏览器发送了一次GET请求。不同于XMLHttpRequest的是，通过src属性加载的资源，浏览器限制了Javascript的权限，使其不能读、写返回的内容。但是XMLHttpRequest受到同源策略的约束，不能跨域访问资源。但是W3C制定了XMLHttpRequest跨域访问标准."
- "<base>可以出现在页面的任何地方，并作用于该标签在之后的所有标签；<base>标签只用于<head>标签之内，这个说法是不对的"
- "对当前窗口的window.name对象赋值，没有特殊字符的限制，因为window对象是浏览器的窗体，而并非document对象，因此很多时候window对象不收同源策略的限制，攻击者可以利用这个对象，实现跨域、跨页面传递数据。"
- "输出对象为html时，采用HtmlEncode，HtmlEncode不是专用名词，他只是一种函数实现。他的作用是将字符转换成HTMLEntities，对应的标准是ISO-8859-1"
- "如果网站返回给浏览器的HTTP头中包含了P3P头，某种程度上说，是允许浏览器发送第三方cookie，并且对于cookie的影响将扩大到整个域中的所有页面，因为cookie是以域和path为单位的。P3P头的介入会改变网站的隐私策略，将不再拦截浏览器发送第三方cookie，并且只设置一次即可。 很多时候，如果测试CSRF时发现<iframe>等标签在IE能发送cookie，很有可能是P3P的原因（因为IE默认会拦截iframe发送cookie）"
目录
用户评论
很普通阿。
原来是道哥写得......了解一些安全知识和攻击逻辑...反方向看事物...sweet~
服务器安全浏览一遍，加密部分没看
准备组织组内全体同事学习此书。
翻翻
这本可以，但是内容太多感觉讲的不透，不过看看了解下也蛮好，科普吧算是
安全问题的本质是信任问题，安全问题的核心是数据安全。看完书我想起自己曾经被钓鱼网站欺骗的经历：很多年以前我丢过一个iPhone，各种办法没有找回来，非常遗憾。大概一两年之后我收到一封邮件，苹果公司说已经找到了我的iPhone，但是需要我提供密码验证，然后就会给我邮回来。我当时激动坏了，立刻打开网页输入密码，第1次提示我密码错误，虽然我明明输对了，当时没有多想又输了一次。大概15秒之后，我突然晃过神来，我被骗了！片子还设计了一个圈套，double check了我的密码。等我再仔细看那个网址，根本不是苹果官网。骗子真是对人性的弱点拿捏的淋漓尽致。
补标，通过这本书入的门
@2015-09-16 20:59:57
啃了第一遍，还要再啃啃才行
电子工业出版社的其他书籍查看全部
下载
收藏