白帽子讲Web安全

吴翰清

出版时间

2012-02-29

ISBN

9787121160721

评分

★★★★★
书籍介绍
《白帽子讲Web安全》内容简介:在互联网时代,数据安全与个人隐私受到了前所未有的挑战,各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据?《白帽子讲Web安全》将带你走进Web安全的世界,让你了解Web安全的方方面面。黑客不再变得神秘,攻击技术原来我也可以会,小网站主自己也能找到正确的安全道路。大公司是怎么做安全的,为什么要选择这样的方案呢?你能在《白帽子讲Web安全》中找到答案。详细的剖析,让你不仅能“知其然”,更能“知其所以然”。
AI导读
核心看点
  • 系统梳理XSS、CSRF等Web常见漏洞原理与攻防实战技巧。
  • 提出白帽子兵法,如纵深防御、数据与代码分离等核心安全原则。
  • 强调安全是动态运营过程,需结合业务场景进行持续风险评估。
适合谁读
  • Web开发人员,需了解常见漏洞原理以编写更安全代码。
  • 初级安全工程师,适合入门学习Web安全体系与攻防思路。
  • 网站管理员及小站长,帮助建立基础安全意识与防护方案。
读前提醒
  • 理论偏多且部分技术细节已陈旧,建议结合最新标准阅读。
  • 书中存在少量概念错误,如第三方Cookie解释,需批判性阅读。
  • 适合快速浏览建立知识框架,深入细节建议参考更专业书籍。
读者共识
  • 作者安全世界观深刻,重道轻术,有助于提升安全思维高度。
  • 内容覆盖面广但体系性稍弱,部分章节对老手而言略显鸡肋。
  • 作为入门读物尚可,但实战深度不足,建议搭配其他书籍学习。

本导读基于书籍简介、目录、原文摘录、短评和书评生成,不等同于全文精读。

精彩摘录
  • "Secure By Default 原则; 纵深防御原则; 数据与代码分离原则; 不可预测性原则。"
  • "方案的实施周期"
  • "安全和业务并不冲突,安全也应该是产品的一种属性,一个从未考虑过安全的产品,是不完整的"
  • "<script><img><iframe><link>标签都是可以跨域家在资源,不受同源策略的限制。这些带‘src’属性的标签每次加载的时候,实际上是由浏览器发送了一次GET请求。不同于XMLHttpRequest的是,通过src属性加载的资源,浏览器限制了Javascript的权限,使其不能读、写返回的内容。但是XMLHttpRequest受到同源策略的约束,不能跨域访问资源。但是W3C制定了XMLHttpRequest跨域访问标准."
  • "<base>可以出现在页面的任何地方,并作用于该标签在之后的所有标签;<base>标签只用于<head>标签之内,这个说法是不对的"
  • "对当前窗口的window.name对象赋值,没有特殊字符的限制,因为window对象是浏览器的窗体,而并非document对象,因此很多时候window对象不收同源策略的限制,攻击者可以利用这个对象,实现跨域、跨页面传递数据。"
  • "输出对象为html时,采用HtmlEncode,HtmlEncode不是专用名词,他只是一种函数实现。他的作用是将字符转换成HTMLEntities,对应的标准是ISO-8859-1"
  • "如果网站返回给浏览器的HTTP头中包含了P3P头,某种程度上说,是允许浏览器发送第三方cookie,并且对于cookie的影响将扩大到整个域中的所有页面,因为cookie是以域和path为单位的。P3P头的介入会改变网站的隐私策略,将不再拦截浏览器发送第三方cookie,并且只设置一次即可。 很多时候,如果测试CSRF时发现<iframe>等标签在IE能发送cookie,很有可能是P3P的原因(因为IE默认会拦截iframe发送cookie)"
作者简介
吴翰清,毕业于西安交通大学少年班,从2000年开始研究网络攻防技术。在大学期间创立了在中国安全圈内极具影响力的组织“幻影”。
目录
第一篇 世界观安全
第1章 我的安全世界观 2
1.1 Web安全简史 2
1.1.1 中国黑客简史 2
1.1.2 黑客技术的发展历程 3

显示全部
用户评论
很普通阿。
原来是道哥写得......了解一些安全知识和攻击逻辑...反方向看事物...sweet~
服务器安全浏览一遍,加密部分没看
准备组织组内全体同事学习此书。
翻翻
这本可以,但是内容太多感觉讲的不透,不过看看了解下也蛮好,科普吧算是
安全问题的本质是信任问题,安全问题的核心是数据安全。看完书我想起自己曾经被钓鱼网站欺骗的经历:很多年以前我丢过一个iPhone,各种办法没有找回来,非常遗憾。大概一两年之后我收到一封邮件,苹果公司说已经找到了我的iPhone,但是需要我提供密码验证,然后就会给我邮回来。我当时激动坏了,立刻打开网页输入密码,第1次提示我密码错误,虽然我明明输对了,当时没有多想又输了一次。大概15秒之后,我突然晃过神来,我被骗了!片子还设计了一个圈套,double check了我的密码。等我再仔细看那个网址,根本不是苹果官网。骗子真是对人性的弱点拿捏的淋漓尽致。
补标,通过这本书入的门
@2015-09-16 20:59:57
啃了第一遍,还要再啃啃才行
下载
收藏