黑客攻防技術寶典：Web實戰篇(第2版)

核心原則：所有的用戶輸入都有可能是惡意的。sql注入基於框架已經規避的很好了，xss攻擊介紹的很詳細、url帶參數直接展示到頁面也有植入風險；cookie的域名設置也要注意，子域名植入腳本這個場景一直都忽略了；郵箱也容易出現保存型xss攻擊url植入

與其說是攻防，不如說是提供了『滲透測試員』的視角，來看待 web應用

不錯的一本書，學到了很多安全上的知識。

我在守望，服務器之上 有多少漏洞在暗夜裏隱藏 昨夜攻防啊，鍵盤敲到響 我要和你守護這代碼的邊疆 數據被牽引，權限漲又降 有你的防護，就是防火牆 我掃描我滲透，我的鼠標早已發燙 XSS彈窗，SQL注入狂 看得見的看不見的，明槍的暗箭的 白帽衝鋒啊，黑帽淚兩行 誰在暗處，0day在流浪 讓我的後門像野馬脫了繮 安全至上！安全至上！ 加密的密鑰在雲端飛揚 404 not found，黑客也迷茫 紅藍對抗的戰場，勝負終明朗 安全至上！安全至上！ 日誌裏記錄着攻防的勳章 等滲透結束，誰還敢囂張？ 用漏洞鑄就的盾牌，黑夜也閃亮 Burp抓包像套馬的漢子威武雄壯 CSRF令牌是草原最硬的糖 蜜罐釣魚臺，黑客往裏闖 WAF一出手，流量全篩光 你的弱口令，我不敢想象 admin加123，駱駝看了都心慌 sudo rm -rf /* 千萬別亂撞 chmod 777 權限要控場 /bin/bash裏藏玄機喲 echo "Hello Hacker" 送你一箭穿心腸 安全至上！安全至上！ 紅隊藍隊共衛這數字邊疆 從Web到內網，從漏洞到補丁 攻防的史詩在鍵盤上回響 馬蹄聲起（是服務器轟鳴） 馬蹄聲落（看日誌定存亡） 青草長啊（代碼綠） 大雪飄揚（漏洞涼）

粗粗讀了一遍，可能更適合滲透測試閱讀 。對於開發來說需要注意的點以及攻擊防禦並沒有進行很好的講解 ，總體來說一般。

一本改變職業方向的書籍，陪伴着我走過了五年半時間。在過去的五年多時間裏，從初次相遇的熱情，再到埋入箱底，再到重新讀過，難免心中再起波瀾。 1、web核心安全問題：用戶可以提交任意輸入 過去五年多時間，移動互聯網的迅速發展給社會經濟生活帶來翻天覆地的變化，然而移動互聯網背後的web安全問題依然突出。 雖然大多數開發同學都會明白需要對用戶輸入進行服務端校驗，但是依然存在部分千萬級、億級的App對用戶輸入的處理方法不當。 輸入處理的方法： 拒絕已知的不良輸入 接受已知的正常輸入 淨化 安全數據處理 語法檢查 2、影響web安全的關鍵問題因素 對於web/移動app而言，影響web/移動app安全的原因是相近的。web安全的主要影響原因包括： 不成熟的安全意識 獨立開發 欺騙性的簡化 迅速發展的威脅形式 資源與時間限制 技術上強其所難 對功能需求的不斷增強 3、處理用戶訪問 處理用戶訪問主要從身份認證、會話管理、訪問控制三方面入手，根據過去開發、測試的經驗，這三部分通常存在非常嚴重的安全問題。 4、避開客戶端控件 避開客戶端控件最簡單的方法就是抓包，直接攔截web、app的網絡請求，修改請求參數、響應內容便可。 但是目前已有部分移動app通過檢查網絡環境、證書，不能抓取app的http請求，但是在開發、測試過程中還是可以通過調整打包策略，滿足開發測試的需求。 5、攻擊驗證機制 目前常見的驗證機制密碼驗證、短信驗證碼驗證、openauth驗證。 在短信驗證碼驗證過程中存在蠻力攻擊的可能性極大。 密碼保密性不強 結合社交工程，蠻力攻擊造成的影響愈來愈大 多數app依然顯示詳細的登錄失敗信息 證書明文傳輸依然存在 密碼修改過程中僅使用單因素驗證 可預測的用戶名，用戶ID在商品評論中隨處可見，不用枚舉，直接用爬蟲吧 證書分配不安全，直接發短信將明文密碼發到用戶智能手機中（android用戶手機中讀取短信的權限授權太多） 可預測的初始密碼，直接百度搜索某某網站的默認密碼 常見缺陷： 故障開放登錄機制 多階段登錄機制中存在邏輯缺陷 不安全的證書存儲，明文傳輸、日誌未模糊處理、使用md5/sha1加密未加salt 在實際工作過程中使用加密傳輸的密碼也存在密碼回放的風險。 6、攻擊會話管理 會話挾持的問題司空見慣 7、攻擊訪問控制 包括垂直訪問控制、水平訪問控制、上下文相關的訪問控制。 越權訪問漏洞也非常常見，部分系統將該部分核心功能交給無訪問控制開發經驗的人來設計，從一開始便陷入錯誤的陷阱。 8、代碼注入 主要在解釋型語言中發生，解釋型語言包括sql、ldap、perl、php。 9、server端組件 常見問題包括注入操作系統命令、路徑遍歷漏洞等 10、邏輯漏洞 通常是設計者或開發者在思考過程中作出的特殊假設存在明顯或隱含的錯誤。可以關注專注模式的特點、程序員的思考方式。避免邏輯漏洞的方法： 確保將應用程序各方面的設計信息清楚、詳細的記錄到文檔中。 清楚的源代碼註釋 在以安全爲中心的應用程序設計審覈中，考慮設計過程中的每一假設，並想象假設被違背的每種場景。 代碼審覈需考慮程序如何處理用戶反常行爲和輸入； 代碼審覈過程中不同代碼組件與應用功能之間的相互依賴、互操作可能造成的不利影響。 11、XSS漏洞 包括反射型XSS漏洞、保存型XSS漏洞、基於DOM的XSS漏洞。 其中反射型XSS漏洞對於目前最新的瀏覽器chrome、firefox、IE11、safari、edge，都會被瀏覽器攔截。 12、僞造請求 包括本站點請求僞造（OSRF漏洞）、跨站點請求僞造（CSRF漏洞） 13、模糊測試 手工測試太慢，運用定製化測試工具、腳本，生成大量包括常見攻擊字符串的請求，根據服務器響應快速確定問題。 書中知識非常豐富，歡迎各位朋友一起學習分享。

這本書挺不錯的，評分怎麼這麼低

還行，但是離實踐還有一段距離。

再翻一遍，發現作者原來是 mdsec.co.uk 的兩位創始人 做 RedTeam 的同學應該都很熟悉吧[大兵]

講解web應用安全最好的圖書，沒有之一