具体描述
互联网时代的数据安全与个人隐私受到前所未有的挑战，各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据？《白帽子讲Web 安全（纪念版）》将带你走进Web 安全的世界，让你了解Web 安全的方方面面。黑客不再神秘，攻击技术原来如此，小网站也能找到适合自己的安全道路。大公司如何做安全，为什么要选择这样的方案呢？在《白帽子讲Web 安全（纪念版）》中都能找到答案。详细的剖析，让你不仅能“知其然”，更能“知其所以然”。
《白帽子讲Web 安全（纪念版）》根据安全宝副总裁吴翰清之前在顶级互联网公司若干年的实际工作经验而写成，在解决方案上具有极强的可操作性；深入分析诸多错误的方法及误区，对安全工作者有很好的参考价值；对安全开发流程与运营的介绍，同样具有深刻的行业指导意义。《纪念版》与前版内容相同，仅为纪念原作以多种语言在全球发行的特殊版本，请读者按需选用。
《代码炼金术：潜入数字世界，守护网络边界》 在信息洪流奔腾不息的数字时代，网络安全已成为一道看不见的战壕，无时无刻不在守护着我们赖以生存的数字世界。从庞大的企业服务器到个人腕上的智能设备，无处不在的代码构建起精密的体系，也潜藏着不为人知的风险。本书将带您走进一个引人入胜的领域——网络安全攻防的智慧较量。 您是否曾好奇，那些光鲜亮丽的网站背后，究竟隐藏着怎样的技术奥秘？当您在网络上畅游时，那些看似牢不可破的防护盾，是如何被智慧的“探险家”们层层剖析，揭示其内在的脆弱？本书并非一本枯燥的技术手册，而是以一种侦探故事般的叙事风格，带领读者一步步走进数字世界的深层脉络。 我们将从最基础的“数字语言”——编程入手，但这不是学习如何编写应用程序，而是理解代码是如何被“阅读”和“分析”的。就像一位经验丰富的锁匠，他能通过观察锁芯的细微差别，推断出开启它的方法。我们将学习如何审视代码的逻辑，找出那些可能存在的“后门”，或是由于疏忽而留下的“缝隙”。这并非鼓励恶意行为，而是为了理解攻击者的思维模式，从而更好地构建坚不可摧的防御体系。 本书将深入探讨网络通信的底层逻辑。您将了解到，数据如何在计算机之间穿梭，每一次点击，每一次发送，都伴随着一系列复杂的交互。我们将剖析这些交互中的潜在漏洞，例如，信息是如何在传输过程中被截获和篡改的，又或是如何利用不安全的通信协议来窃取敏感数据。这就像学习河流的流向，才能找到最佳的筑坝时机，或是预防洪水侵袭的有效措施。 我们将一同探索Web应用程序的“生命周期”。从前端的用户界面，到后端的数据库交互，每一个环节都可能成为攻击者的目标。我们将学习如何识别和利用那些常见的Web安全漏洞，例如SQL注入、跨站脚本攻击（XSS）、跨站请求伪造（CSRF）等。这些并非抽象的概念，而是实际存在的攻击手法，本书将通过生动的案例和深入的原理剖析，让您对其了然于胸。这就像理解建筑物的结构，才能找到承重墙的薄弱环节，或是设计更安全的加固方案。 本书还将聚焦于数据安全的重要性。在信息爆炸的时代，数据成为了最宝贵的财富。我们将探讨数据是如何被存储、管理和保护的，以及在数据泄露事件中，攻击者是如何得手的。您将了解到，即使是最强大的加密技术，也可能因为人为的失误或设计上的缺陷而失效。这如同学习如何保管珍贵的宝藏，需要从保险库的设计到钥匙的管理，每一个细节都不能忽视。 更重要的是，本书将强调“知己知彼，百战不殆”的网络安全哲学。我们不仅要了解攻击的手段，更要掌握防御的艺术。我们将探讨如何通过合理的系统设计、安全的编码实践、以及完善的安全策略来构建纵深防御体系。这包括了如何进行有效的安全审计，如何应对突发的安全事件，以及如何持续地提升安全防护能力。这就像学习如何在战场上排兵布阵，需要了解敌方的兵力部署，也需要懂得如何调动我方的优势资源来抵御威胁。 本书的目标读者是所有对数字世界的安全运行充满好奇，渴望了解网络攻防智慧的读者。无论您是初入IT行业的学生，希望建立扎实的网络安全基础；还是有经验的开发者，希望提升代码的安全性；亦或是对网络世界充满求知欲的普通读者，都将从中受益。 《代码炼金术：潜入数字世界，守护网络边界》 将为您打开一扇通往网络安全核心的大门，让您不再是旁观者，而是能够深刻理解并积极参与到这场数字世界的“筑城”与“破城”的智慧博弈之中。让我们一起，用智慧和洞察力，去探索、去理解、去守护，让数字世界更加安全。
作者简介
吴翰清，毕业于西安交通大学少年班，从2000年开始研究网络攻防技术。在大学期间创立了在中国安全圈内极具影响力的组织“幻影”。
目录信息
第一篇 世界观安全
第1 章 我的安全世界观...................................................................................................2
1.1 Web 安全简史................................................................................................2
1.1.1 中国黑客简史........................................................................................2
1.1.2 黑客技术的发展历程..............................................................................3
1.1.3 Web 安全的兴起....................................................................................5
1.2 黑帽子，白帽子.............................................................................................6
1.3 返璞归真，揭秘安全的本质..........................................................................7
1.4 破除迷信，没有银弹.....................................................................................9
1.5 安全三要素..................................................................................................10
1.6 如何实施安全评估....................................................................................... 11
1.6.1 资产等级划分......................................................................................12
1.6.2 威胁分析.............................................................................................13
1.6.3 风险分析.............................................................................................14
1.6.4 设计安全方案......................................................................................15
1.7 白帽子兵法..................................................................................................16
1.7.1 Secure By Default 原则.........................................................................16
1.7.2 纵深防御原则......................................................................................18
1.7.3 数据与代码分离原则............................................................................19
1.7.4 不可预测性原则...................................................................................21
1.8 小结.............................................................................................................22
（附）谁来为漏洞买单？..................................................................................23
第二篇 客户端脚本安全
第2 章 浏览器安全.........................................................................................................26
2.1 同源策略......................................................................................................26
2.2 浏览器沙箱..................................................................................................30
2.3 恶意网址拦截..............................................................................................33
2.4 高速发展的浏览器安全...............................................................................36
2.5 小结.............................................................................................................39
第3 章 跨站脚本攻击（XSS） .....................................................................................40
3.1 XSS 简介......................................................................................................40
3.2 XSS 攻击进阶..............................................................................................43
3.2.1 初探XSS Payload.................................................................................43
3.2.2 强大的XSS Payload ............................................................................. 46
3.2.3 XSS 攻击平台.....................................................................................62
3.2.4 终极武器：XSS Worm..........................................................................64
3.2.5 调试JavaScript ....................................................................................73
3.2.6 XSS 构造技巧......................................................................................76
3.2.7 变废为宝：Mission Impossible ..............................................................82
3.2.8 容易被忽视的角落：Flash XSS .............................................................85
3.2.9 真的高枕无忧吗：JavaScript 开发框架..................................................87
3.3 XSS 的防御..................................................................................................89
3.3.1 四两拨千斤：HttpOnly .........................................................................89
3.3.2 输入检查.............................................................................................93
3.3.3 输出检查.............................................................................................95
3.3.4 正确地防御XSS ..................................................................................99
3.3.5 处理富文本....................................................................................... 102
3.3.6 防御DOM Based XSS......................................................................... 103
3.3.7 换个角度看XSS 的风险..................................................................... 107
3.4 小结........................................................................................................... 107
第4 章 跨站点请求伪造（CSRF） ............................................................................ 109
4.1 CSRF 简介................................................................................................. 109
4.2 CSRF 进阶................................................................................................. 111
4.2.1 浏览器的Cookie 策略........................................................................ 111
4.2.2 P3P 头的副作用................................................................................. 113
4.2.3 GET? POST?...................................................................................... 116
4.2.4 Flash CSRF........................................................................................ 118
4.2.5 CSRF Worm....................................................................................... 119
4.3 CSRF 的防御.............................................................................................. 120
4.3.1 验证码.............................................................................................. 120
4.3.2 Referer Check..................................................................................... 120
4.3.3 Anti CSRF Token................................................................................ 121
4.4 小结........................................................................................................... 124
第5 章 点击劫持（ClickJacking）............................................................................. 125
5.1 什么是点击劫持......................................................................................... 125
5.2 Flash 点击劫持........................................................................................... 127
5.3 图片覆盖攻击............................................................................................ 129
5.4 拖拽劫持与数据窃取................................................................................. 131
5.5 ClickJacking 3.0：触屏劫持....................................................................... 134
5.6 防御ClickJacking....................................................................................... 136
5.6.1 frame busting ..................................................................................... 136
5.6.2 X-Frame-Options ................................................................................ 137
5.7 小结........................................................................................................... 138
第6 章 HTML 5 安全................................................................................................... 139
6.1 HTML 5 新标签.......................................................................................... 139
6.1.1 新标签的XSS.................................................................................... 139
6.1.2 iframe 的sandbox ............................................................................... 140
6.1.3 Link Types: noreferrer ......................................................................... 141
6.1.4 Canvas 的妙用................................................................................... 141
6.2 其他安全问题............................................................................................ 144
6.2.1 Cross-Origin Resource Sharing ............................................................. 144
6.2.2 postMessage——跨窗口传递消息......................................................... 146
6.2.3 Web Storage....................................................................................... 147
6.3 小结........................................................................................................... 150
第三篇 服务器端应用安全
第7 章 注入攻击.......................................................................................................... 152
7.1 SQL 注入.................................................................................................... 152
7.1.1 盲注（Blind Injection） ...................................................................... 153
7.1.2 Timing Attack .................................................................................... 155
7.2 数据库攻击技巧......................................................................................... 157
7.2.1 常见的攻击技巧................................................................................. 157
7.2.2 命令执行........................................................................................... 158
7.2.3 攻击存储过程.................................................................................... 164
7.2.4 编码问题........................................................................................... 165
7.2.5 SQL Column Truncation ...................................................................... 167
7.3 正确地防御SQL 注入................................................................................ 170
7.3.1 使用预编译语句................................................................................. 171
7.3.2 使用存储过程.................................................................................... 172
7.3.3 检查数据类型.................................................................................... 172
7.3.4 使用安全函数.................................................................................... 172
7.4 其他注入攻击............................................................................................ 173
7.4.1 XML 注入......................................................................................... 173
7.4.2 代码注入........................................................................................... 174
7.4.3 CRLF 注入........................................................................................ 176
7.5 小结........................................................................................................... 179
第8 章 文件上传漏洞................................................................................................... 180
8.1 文件上传漏洞概述..................................................................................... 180
8.1.1 从FCKEditor 文件上传漏洞谈起......................................................... 181
8.1.2 绕过文件上传检查功能...................................................................... 182
8.2 功能还是漏洞............................................................................................ 183
8.2.1 Apache 文件解析问题......................................................................... 184
8.2.2 IIS 文件解析问题............................................................................... 185
8.2.3 PHP CGI 路径解析问题...................................................................... 187
8.2.4 利用上传文件钓鱼............................................................................. 189
8.3 设计安全的文件上传功能.......................................................................... 190
8.4 小结........................................................................................................... 191
第9 章 认证与会话管理............................................................................................... 192
9.1 Who am I? .................................................................................................. 192
9.2 密码的那些事儿......................................................................................... 193
9.3 多因素认证................................................................................................ 195
9.4 Session 与认证........................................................................................... 196
9.5 Session Fixation 攻击................................................................................. 198
9.6 Session 保持攻击....................................................................................... 199
9.7 单点登录（SSO）...................................................................................... 201
9.8 小结........................................................................................................... 203
第10 章 访问控制........................................................................................................ 205
10.1 What Can I Do? ........................................................................................ 205
10.2 垂直权限管理........................................................................................... 208
10.3 水平权限管理........................................................................................... 211
10.4 OAuth 简介.............................................................................................. 213
10.5 小结.......................................................................................................... 219
第11 章 加密算法与随机数......................................................................................... 220
11.1 概述.......................................................................................................... 220
11.2 Stream Cipher Attack ................................................................................ 222
11.2.1 Reused Key Attack ............................................................................ 222
11.2.2 Bit-flipping Attack ............................................................................ 228
11.2.3 弱随机IV 问题................................................................................ 230
11.3 WEP 破解................................................................................................. 232
11.4 ECB 模式的缺陷...................................................................................... 236
11.5 Padding Oracle Attack ............................................................................... 239
11.6 密钥管理.................................................................................................. 251
11.7 伪随机数问题........................................................................................... 253
11.7.1 弱伪随机数的麻烦........................................................................... 253
11.7.2 时间真的随机吗............................................................................... 256
11.7.3 破解伪随机数算法的种子................................................................. 257
11.7.4 使用安全的随机数........................................................................... 265
11.8 小结.......................................................................................................... 265
（附）Understanding MD5 Length Extension Attack .................................... 267
第12 章 Web 框架安全............................................................................................... 280
12.1 MVC 框架安全......................................................................................... 280
12.2 模板引擎与XSS 防御.............................................................................. 282
12.3 Web 框架与CSRF 防御............................................................................ 285
12.4 HTTP Headers 管理.................................................................................. 287
12.5 数据持久层与SQL 注入.......................................................................... 288
12.6 还能想到什么........................................................................................... 289
12.7 Web 框架自身安全................................................................................... 289
12.7.1 Struts 2 命令执行漏洞....................................................................... 290
12.7.2 Struts 2 的问题补丁.......................................................................... 291
12.7.3 Spring MVC 命令执行漏洞................................................................ 292
12.7.4 Django 命令执行漏洞....................................................................... 293
12.8 小结.......................................................................................................... 294
第13 章 应用层拒绝服务攻击..................................................................................... 295
13.1 DDOS 简介............................................................................................... 295
13.2 应用层DDOS........................................................................................... 297
13.2.1 CC 攻击........................................................................................... 297
13.2.2 限制请求频率.................................................................................. 298
13.2.3 道高一尺，魔高一丈........................................................................ 300
13.3 验证码的那些事儿................................................................................... 301
13.4 防御应用层DDOS ................................................................................... 304
13.5 资源耗尽攻击........................................................................................... 306
13.5.1 Slowloris 攻击.................................................................................. 306
13.5.2 HTTP POST DOS.............................................................................. 309
13.5.3 Server Limit DOS.............................................................................. 310
13.6 一个正则引发的血案：ReDOS................................................................ 311
13.7 小结.......................................................................................................... 315
第14 章 PHP 安全....................................................................................................... 317
14.1 文件包含漏洞........................................................................................... 317
14.1.1 本地文件包含.................................................................................. 319
14.1.2 远程文件包含.................................................................................. 323
14.1.3 本地文件包含的利用技巧................................................................. 323
14.2 变量覆盖漏洞........................................................................................... 331
14.2.1 全局变量覆盖.................................................................................. 331
14.2.2 extract()变量覆盖............................................................................. 334
14.2.3 遍历初始化变量............................................................................... 334
14.2.4 import_request_variables 变量覆盖..................................................... 335
14.2.5 parse_str()变量覆盖.......................................................................... 335
14.3 代码执行漏洞........................................................................................... 336
14.3.1 “危险函数”执行代码...................................................................... 336
14.3.2 “文件写入”执行代码...................................................................... 343
14.3.3 其他执行代码方式........................................................................... 344
14.4 定制安全的PHP 环境.............................................................................. 348
14.5 小结.......................................................................................................... 352
第15 章 Web Server 配置安全................................................................................... 353
15.1 Apache 安全............................................................................................. 353
15.2 Nginx 安全............................................................................................... 354
15.3 jBoss 远程命令执行................................................................................. 356
15.4 Tomcat 远程命令执行.............................................................................. 360
15.5 HTTP Parameter Pollution......................................................................... 363
15.6 小结.......................................................................................................... 364
第四篇 互联网公司安全运营
第16 章 互联网业务安全............................................................................................ 366
16.1 产品需要什么样的安全............................................................................ 366
16.1.1 互联网产品对安全的需求................................................................. 367
16.1.2 什么是好的安全方案........................................................................ 368
16.2 业务逻辑安全........................................................................................... 370
16.2.1 永远改不掉的密码........................................................................... 370
16.2.2 谁是大赢家...................................................................................... 371
16.2.3 瞒天过海......................................................................................... 372
16.2.4 关于密码取回流程........................................................................... 373
16.3 账户是如何被盗的................................................................................... 374
16.3.1 账户被盗的途径............................................................................... 374
16.3.2 分析账户被盗的原因........................................................................ 376
16.4 互联网的垃圾........................................................................................... 377
16.4.1 垃圾的危害...................................................................................... 377
16.4.2 垃圾处理......................................................................................... 379
16.5 关于网络钓鱼........................................................................................... 380
16.5.1 钓鱼网站简介.................................................................................. 381
16.5.2 邮件钓鱼......................................................................................... 383
16.5.3 钓鱼网站的防控............................................................................... 385
16.5.4 网购流程钓鱼.................................................................................. 388
16.6 用户隐私保护........................................................................................... 393
16.6.1 互联网的用户隐私挑战..................................................................... 393
16.6.2 如何保护用户隐私........................................................................... 394
16.6.3 Do-Not-Track ................................................................................... 396
16.7 小结.......................................................................................................... 397
（附）麻烦的终结者........................................................................................ 398
第17 章 安全开发流程（SDL） ................................................................................. 402
17.1 SDL 简介.................................................................................................. 402
17.2 敏捷SDL.................................................................................................. 406
17.3 SDL 实战经验.......................................................................................... 407
17.4 需求分析与设计阶段............................................................................... 409
17.5 开发阶段.................................................................................................. 415
17.5.1 提供安全的函数............................................................................... 415
17.5.2 代码安全审计工具........................................................................... 417
17.6 测试阶段.................................................................................................. 418
17.7 小结.......................................................................................................... 420
第18 章 安全运营........................................................................................................ 422
18.1 把安全运营起来....................................................................................... 422
18.2 漏洞修补流程........................................................................................... 423
18.3 安全监控.................................................................................................. 424
18.4 入侵检测.................................................................................................. 425
18.5 紧急响应流程........................................................................................... 428
18.6 小结.......................................................................................................... 430
（附）谈谈互联网企业安全的发展方向....................................................... 431
· · · · · · (收起)
第1 章 我的安全世界观...................................................................................................2
1.1 Web 安全简史................................................................................................2
1.1.1 中国黑客简史........................................................................................2
1.1.2 黑客技术的发展历程..............................................................................3
1.1.3 Web 安全的兴起....................................................................................5
1.2 黑帽子，白帽子.............................................................................................6
1.3 返璞归真，揭秘安全的本质..........................................................................7
1.4 破除迷信，没有银弹.....................................................................................9
1.5 安全三要素..................................................................................................10
1.6 如何实施安全评估....................................................................................... 11
1.6.1 资产等级划分......................................................................................12
1.6.2 威胁分析.............................................................................................13
1.6.3 风险分析.............................................................................................14
1.6.4 设计安全方案......................................................................................15
1.7 白帽子兵法..................................................................................................16
1.7.1 Secure By Default 原则.........................................................................16
1.7.2 纵深防御原则......................................................................................18
1.7.3 数据与代码分离原则............................................................................19
1.7.4 不可预测性原则...................................................................................21
1.8 小结.............................................................................................................22
（附）谁来为漏洞买单？..................................................................................23
第二篇 客户端脚本安全
第2 章 浏览器安全.........................................................................................................26
2.1 同源策略......................................................................................................26
2.2 浏览器沙箱..................................................................................................30
2.3 恶意网址拦截..............................................................................................33
2.4 高速发展的浏览器安全...............................................................................36
2.5 小结.............................................................................................................39
第3 章 跨站脚本攻击（XSS） .....................................................................................40
3.1 XSS 简介......................................................................................................40
3.2 XSS 攻击进阶..............................................................................................43
3.2.1 初探XSS Payload.................................................................................43
3.2.2 强大的XSS Payload ............................................................................. 46
3.2.3 XSS 攻击平台.....................................................................................62
3.2.4 终极武器：XSS Worm..........................................................................64
3.2.5 调试JavaScript ....................................................................................73
3.2.6 XSS 构造技巧......................................................................................76
3.2.7 变废为宝：Mission Impossible ..............................................................82
3.2.8 容易被忽视的角落：Flash XSS .............................................................85
3.2.9 真的高枕无忧吗：JavaScript 开发框架..................................................87
3.3 XSS 的防御..................................................................................................89
3.3.1 四两拨千斤：HttpOnly .........................................................................89
3.3.2 输入检查.............................................................................................93
3.3.3 输出检查.............................................................................................95
3.3.4 正确地防御XSS ..................................................................................99
3.3.5 处理富文本....................................................................................... 102
3.3.6 防御DOM Based XSS......................................................................... 103
3.3.7 换个角度看XSS 的风险..................................................................... 107
3.4 小结........................................................................................................... 107
第4 章 跨站点请求伪造（CSRF） ............................................................................ 109
4.1 CSRF 简介................................................................................................. 109
4.2 CSRF 进阶................................................................................................. 111
4.2.1 浏览器的Cookie 策略........................................................................ 111
4.2.2 P3P 头的副作用................................................................................. 113
4.2.3 GET? POST?...................................................................................... 116
4.2.4 Flash CSRF........................................................................................ 118
4.2.5 CSRF Worm....................................................................................... 119
4.3 CSRF 的防御.............................................................................................. 120
4.3.1 验证码.............................................................................................. 120
4.3.2 Referer Check..................................................................................... 120
4.3.3 Anti CSRF Token................................................................................ 121
4.4 小结........................................................................................................... 124
第5 章 点击劫持（ClickJacking）............................................................................. 125
5.1 什么是点击劫持......................................................................................... 125
5.2 Flash 点击劫持........................................................................................... 127
5.3 图片覆盖攻击............................................................................................ 129
5.4 拖拽劫持与数据窃取................................................................................. 131
5.5 ClickJacking 3.0：触屏劫持....................................................................... 134
5.6 防御ClickJacking....................................................................................... 136
5.6.1 frame busting ..................................................................................... 136
5.6.2 X-Frame-Options ................................................................................ 137
5.7 小结........................................................................................................... 138
第6 章 HTML 5 安全................................................................................................... 139
6.1 HTML 5 新标签.......................................................................................... 139
6.1.1 新标签的XSS.................................................................................... 139
6.1.2 iframe 的sandbox ............................................................................... 140
6.1.3 Link Types: noreferrer ......................................................................... 141
6.1.4 Canvas 的妙用................................................................................... 141
6.2 其他安全问题............................................................................................ 144
6.2.1 Cross-Origin Resource Sharing ............................................................. 144
6.2.2 postMessage——跨窗口传递消息......................................................... 146
6.2.3 Web Storage....................................................................................... 147
6.3 小结........................................................................................................... 150
第三篇 服务器端应用安全
第7 章 注入攻击.......................................................................................................... 152
7.1 SQL 注入.................................................................................................... 152
7.1.1 盲注（Blind Injection） ...................................................................... 153
7.1.2 Timing Attack .................................................................................... 155
7.2 数据库攻击技巧......................................................................................... 157
7.2.1 常见的攻击技巧................................................................................. 157
7.2.2 命令执行........................................................................................... 158
7.2.3 攻击存储过程.................................................................................... 164
7.2.4 编码问题........................................................................................... 165
7.2.5 SQL Column Truncation ...................................................................... 167
7.3 正确地防御SQL 注入................................................................................ 170
7.3.1 使用预编译语句................................................................................. 171
7.3.2 使用存储过程.................................................................................... 172
7.3.3 检查数据类型.................................................................................... 172
7.3.4 使用安全函数.................................................................................... 172
7.4 其他注入攻击............................................................................................ 173
7.4.1 XML 注入......................................................................................... 173
7.4.2 代码注入........................................................................................... 174
7.4.3 CRLF 注入........................................................................................ 176
7.5 小结........................................................................................................... 179
第8 章 文件上传漏洞................................................................................................... 180
8.1 文件上传漏洞概述..................................................................................... 180
8.1.1 从FCKEditor 文件上传漏洞谈起......................................................... 181
8.1.2 绕过文件上传检查功能...................................................................... 182
8.2 功能还是漏洞............................................................................................ 183
8.2.1 Apache 文件解析问题......................................................................... 184
8.2.2 IIS 文件解析问题............................................................................... 185
8.2.3 PHP CGI 路径解析问题...................................................................... 187
8.2.4 利用上传文件钓鱼............................................................................. 189
8.3 设计安全的文件上传功能.......................................................................... 190
8.4 小结........................................................................................................... 191
第9 章 认证与会话管理............................................................................................... 192
9.1 Who am I? .................................................................................................. 192
9.2 密码的那些事儿......................................................................................... 193
9.3 多因素认证................................................................................................ 195
9.4 Session 与认证........................................................................................... 196
9.5 Session Fixation 攻击................................................................................. 198
9.6 Session 保持攻击....................................................................................... 199
9.7 单点登录（SSO）...................................................................................... 201
9.8 小结........................................................................................................... 203
第10 章 访问控制........................................................................................................ 205
10.1 What Can I Do? ........................................................................................ 205
10.2 垂直权限管理........................................................................................... 208
10.3 水平权限管理........................................................................................... 211
10.4 OAuth 简介.............................................................................................. 213
10.5 小结.......................................................................................................... 219
第11 章 加密算法与随机数......................................................................................... 220
11.1 概述.......................................................................................................... 220
11.2 Stream Cipher Attack ................................................................................ 222
11.2.1 Reused Key Attack ............................................................................ 222
11.2.2 Bit-flipping Attack ............................................................................ 228
11.2.3 弱随机IV 问题................................................................................ 230
11.3 WEP 破解................................................................................................. 232
11.4 ECB 模式的缺陷...................................................................................... 236
11.5 Padding Oracle Attack ............................................................................... 239
11.6 密钥管理.................................................................................................. 251
11.7 伪随机数问题........................................................................................... 253
11.7.1 弱伪随机数的麻烦........................................................................... 253
11.7.2 时间真的随机吗............................................................................... 256
11.7.3 破解伪随机数算法的种子................................................................. 257
11.7.4 使用安全的随机数........................................................................... 265
11.8 小结.......................................................................................................... 265
（附）Understanding MD5 Length Extension Attack .................................... 267
第12 章 Web 框架安全............................................................................................... 280
12.1 MVC 框架安全......................................................................................... 280
12.2 模板引擎与XSS 防御.............................................................................. 282
12.3 Web 框架与CSRF 防御............................................................................ 285
12.4 HTTP Headers 管理.................................................................................. 287
12.5 数据持久层与SQL 注入.......................................................................... 288
12.6 还能想到什么........................................................................................... 289
12.7 Web 框架自身安全................................................................................... 289
12.7.1 Struts 2 命令执行漏洞....................................................................... 290
12.7.2 Struts 2 的问题补丁.......................................................................... 291
12.7.3 Spring MVC 命令执行漏洞................................................................ 292
12.7.4 Django 命令执行漏洞....................................................................... 293
12.8 小结.......................................................................................................... 294
第13 章 应用层拒绝服务攻击..................................................................................... 295
13.1 DDOS 简介............................................................................................... 295
13.2 应用层DDOS........................................................................................... 297
13.2.1 CC 攻击........................................................................................... 297
13.2.2 限制请求频率.................................................................................. 298
13.2.3 道高一尺，魔高一丈........................................................................ 300
13.3 验证码的那些事儿................................................................................... 301
13.4 防御应用层DDOS ................................................................................... 304
13.5 资源耗尽攻击........................................................................................... 306
13.5.1 Slowloris 攻击.................................................................................. 306
13.5.2 HTTP POST DOS.............................................................................. 309
13.5.3 Server Limit DOS.............................................................................. 310
13.6 一个正则引发的血案：ReDOS................................................................ 311
13.7 小结.......................................................................................................... 315
第14 章 PHP 安全....................................................................................................... 317
14.1 文件包含漏洞........................................................................................... 317
14.1.1 本地文件包含.................................................................................. 319
14.1.2 远程文件包含.................................................................................. 323
14.1.3 本地文件包含的利用技巧................................................................. 323
14.2 变量覆盖漏洞........................................................................................... 331
14.2.1 全局变量覆盖.................................................................................. 331
14.2.2 extract()变量覆盖............................................................................. 334
14.2.3 遍历初始化变量............................................................................... 334
14.2.4 import_request_variables 变量覆盖..................................................... 335
14.2.5 parse_str()变量覆盖.......................................................................... 335
14.3 代码执行漏洞........................................................................................... 336
14.3.1 “危险函数”执行代码...................................................................... 336
14.3.2 “文件写入”执行代码...................................................................... 343
14.3.3 其他执行代码方式........................................................................... 344
14.4 定制安全的PHP 环境.............................................................................. 348
14.5 小结.......................................................................................................... 352
第15 章 Web Server 配置安全................................................................................... 353
15.1 Apache 安全............................................................................................. 353
15.2 Nginx 安全............................................................................................... 354
15.3 jBoss 远程命令执行................................................................................. 356
15.4 Tomcat 远程命令执行.............................................................................. 360
15.5 HTTP Parameter Pollution......................................................................... 363
15.6 小结.......................................................................................................... 364
第四篇 互联网公司安全运营
第16 章 互联网业务安全............................................................................................ 366
16.1 产品需要什么样的安全............................................................................ 366
16.1.1 互联网产品对安全的需求................................................................. 367
16.1.2 什么是好的安全方案........................................................................ 368
16.2 业务逻辑安全........................................................................................... 370
16.2.1 永远改不掉的密码........................................................................... 370
16.2.2 谁是大赢家...................................................................................... 371
16.2.3 瞒天过海......................................................................................... 372
16.2.4 关于密码取回流程........................................................................... 373
16.3 账户是如何被盗的................................................................................... 374
16.3.1 账户被盗的途径............................................................................... 374
16.3.2 分析账户被盗的原因........................................................................ 376
16.4 互联网的垃圾........................................................................................... 377
16.4.1 垃圾的危害...................................................................................... 377
16.4.2 垃圾处理......................................................................................... 379
16.5 关于网络钓鱼........................................................................................... 380
16.5.1 钓鱼网站简介.................................................................................. 381
16.5.2 邮件钓鱼......................................................................................... 383
16.5.3 钓鱼网站的防控............................................................................... 385
16.5.4 网购流程钓鱼.................................................................................. 388
16.6 用户隐私保护........................................................................................... 393
16.6.1 互联网的用户隐私挑战..................................................................... 393
16.6.2 如何保护用户隐私........................................................................... 394
16.6.3 Do-Not-Track ................................................................................... 396
16.7 小结.......................................................................................................... 397
（附）麻烦的终结者........................................................................................ 398
第17 章 安全开发流程（SDL） ................................................................................. 402
17.1 SDL 简介.................................................................................................. 402
17.2 敏捷SDL.................................................................................................. 406
17.3 SDL 实战经验.......................................................................................... 407
17.4 需求分析与设计阶段............................................................................... 409
17.5 开发阶段.................................................................................................. 415
17.5.1 提供安全的函数............................................................................... 415
17.5.2 代码安全审计工具........................................................................... 417
17.6 测试阶段.................................................................................................. 418
17.7 小结.......................................................................................................... 420
第18 章 安全运营........................................................................................................ 422
18.1 把安全运营起来....................................................................................... 422
18.2 漏洞修补流程........................................................................................... 423
18.3 安全监控.................................................................................................. 424
18.4 入侵检测.................................................................................................. 425
18.5 紧急响应流程........................................................................................... 428
18.6 小结.......................................................................................................... 430
（附）谈谈互联网企业安全的发展方向....................................................... 431
· · · · · · (收起)
读后感
评分
白帽子－防守对抗，属于“好人” 安全三要素：机密性，完整性，可用性。(这个再考虑安全的要点时，可以作为发散点) 数据从高等级的信任域流向低等级的信任域,是不需要经过安全检查的;数据从低等级的 信任域流向高等级的信任域,则需要经过信任边界的安全检查。 互联网安全的...
评分也见过很多由于安全问题导致的网站损失，但往往这个东东知易行难。安全是一个相对的概念，只能用有限的资源，做尽量有效的事情。 但作为一本参考书或者入门书，还是很有用的。安全这个东东，看到的权当是一种总结，或者入门。真正有价值的，还是去做。 PS.一如...
评分这本书内容很全，覆盖了web安全的前端、后端、运营等等内容，其中不仅讲解漏洞成因和原理，更提供了防御思路，这点很难得。 有关安全运营的章节也很赞，这些内容只有在甲方实操过的人，才能写出干货，这也有别于市面上其他讲安全的书。 缺点是，不够深入。讲的全面的书，大多不...
评分我没有看完，只是看完了前面的web部分，服务器部分没看，因为看不懂，事实上web部分也只能明白个大概而已。说这些只是想说明这本书不是计算机科普书。至少是对黑客攻防的一些技术和概念有些了解的人才更有用一些。其他还是看点科普文更好。 虽然是说web安全，但却是从攻击手段...
评分白帽子－防守对抗，属于“好人” 安全三要素：机密性，完整性，可用性。(这个再考虑安全的要点时，可以作为发散点) 数据从高等级的信任域流向低等级的信任域,是不需要经过安全检查的;数据从低等级的 信任域流向高等级的信任域,则需要经过信任边界的安全检查。 互联网安全的...
用户评价
评分
入手《白帽子讲Web安全（纪念版）》纯属偶然，但拿到手后，那种惊喜感是实实在在的。这本书的排版风格给我一种很舒服的感觉，不像有些技术书籍那样密密麻麻全是文字，它在图文结合上做得不错，很多概念的解释都配有清晰的示意图，这对于我这种视觉型学习者来说，简直是福音。我一直认为Web安全不单单是死记硬背那些攻击手法，更重要的是理解其背后的逻辑和原理。从目录上看，这本书在这方面做得很好，它没有直接罗列漏洞，而是从HTTP、TCP/IP等基础协议讲起，一步步引导读者理解安全漏洞是如何产生的。我特别期待关于“Web应用防火墙（WAF）”和“安全编码规范”的部分，因为在实际工作中，我们不仅要了解如何攻击，更要懂得如何防守，如何从源头上杜绝安全隐患。这本书的“纪念版”字样，让我对它是否包含了一些最新的安全发展趋势产生了浓厚的兴趣。比如，在DevSecOps日益普及的今天，这本书是否会探讨如何在CI/CD流程中集成安全测试？或者针对日益增长的云原生应用，它又有哪些独特的安全考量？这些都是我非常想在书中找到答案的。
评分当《白帽子讲Web安全（纪念版）》出现在我的书架上时，我感觉像是找到了一位经验丰富的引路人。我对它的期待，不仅仅在于它能提供多少个漏洞的详细原理，更在于它是否能构建起一个完整的、系统性的Web安全知识体系。我平时工作中接触的Web安全问题多种多样，从前端的XSS到后端的SQL注入，再到服务器层面的配置不当，很多时候感觉自己像是在“救火”，缺乏一种全局观。这本书如果能帮我建立起这种宏观的视角，那就太有价值了。我尤其关注书中关于“安全思维模式”的培养，因为我觉得很多时候，安全意识和安全思维比具体的某个技术点更重要。这本书的“纪念版”意味着它可能承载了作者多年来的积累和思考，我希望它能够包含一些关于安全审计、渗透测试流程以及威胁建模的详细介绍，这些都是提升实战能力的基石。另外，对于新兴的Web技术，比如WebAssembly、PWA等，它们可能带来的新安全风险，这本书是否有涉及？或者对于当前流行的微服务架构下的安全隔离和通信安全，是否有具体的指导？总之，我希望这本书不仅仅是一本技术手册，更是一本能启迪思维、提升实战能力的宝典。
评分这本书，怎么说呢，拿到手的第一感觉就是“厚实”。不像现在很多电子书或者薄薄的教程，这本《白帽子讲Web安全（纪念版）》给人的感觉是扎实，是有内容支撑的。我平时工作之余会自己琢磨一些安全方面的东西，但总觉得理论知识多，实操经验少，而且很多时候遇到问题，感觉像是大海捞针。这本书的出现，让我觉得有了一个可以信赖的“老前辈”。从书本的装帧设计来看，就透露着一种匠心，不是那种急于求成的快餐读物。我注意到它分为好几个大的章节，从基础的HTTP协议讲起，这个我非常需要，因为有时候感觉自己对底层的原理理解得不够透彻。然后是各种SQL注入、XSS、CSRF等经典漏洞的讲解，这些都是我平时会遇到的，希望它能提供更深入的分析和更实用的防护技巧。最让我期待的是书里提到的“攻防案例”，这对于我来说是最宝贵的，理论学得再多，不如看几个真实的案例，能让人茅塞顿开。不知道纪念版在这些案例上有没有什么更新，或者有没有涵盖一些近期比较热门的新型漏洞，比如像SSRF、文件上传漏洞的变种，甚至是API安全方面的内容。总之，这本书的厚度和它涵盖的广度，都让我觉得这次投入是值得的。
评分终于收到这本《白帽子讲Web安全（纪念版）》了，这封面设计就透着一股子不凡，沉甸甸的书本拿在手里，就有一种踏实感。我是一名刚入行不久的Web安全爱好者，之前接触过一些零散的资料，但总感觉不成体系，学起来断断续续的。这次下定决心入手这本书，主要是被它的名气吸引，而且“纪念版”这个词总让人感觉分量十足，是不是有什么特别的收录或者更新？拿到手后，迫不及待地翻看了一下目录，感觉内容非常丰富，从基础的网络协议，到各种常见的Web攻击手段，再到防御策略，几乎涵盖了Web安全的大部分重要领域。我尤其对那些实战攻防的案例很感兴趣，希望这本书能提供一些清晰易懂的讲解，让我能够更好地理解攻击者的思维方式，从而构建更有效的防御体系。这本书的出版时间虽然不短了，但Web安全领域瞬息万变，我很好奇它在“纪念版”中是否加入了一些新的内容，比如针对当前流行的微服务、容器化部署或者Serverless架构的安全挑战，以及AI在Web安全中的应用等。总的来说，我对这本书充满了期待，希望它能成为我Web安全学习道路上的重要指引。
评分这本书拿在手上，能明显感受到它的分量，不是那种轻飘飘的快餐书。对于我这样一个在互联网安全领域摸爬滚打多年的“老兵”来说，找到一本既能触及核心本质，又能与时俱进的书籍是件不容易的事。《白帽子讲Web安全（纪念版）》的出版，无疑是一次值得关注的事件。我更关注的是它在“纪念版”中是否对过去的一些经典内容进行了升华，或者加入了对当前技术浪潮下新出现的一些安全威胁的深入剖析。比如，随着前后端分离架构的普遍应用，API安全的重要性愈发凸显，不知道这本书是否有专门的篇幅来探讨RESTful API、GraphQL等的安全实践。另外，针对近年来层出不穷的数据泄露事件，我对书中关于数据加密、访问控制以及隐私保护等方面的详细阐述充满了期待。我个人认为，一本优秀的Web安全书籍，不仅要讲解“怎么打”，更要引导读者思考“如何守”，以及“如何构建一个更有韧性的安全体系”。希望这本书能够提供一些超越基础知识的深度思考，帮助我们应对那些日益复杂和隐蔽的安全挑战，尤其是在“纪念版”这个节点，我好奇作者是否会分享一些他从业生涯中的宝贵经验和心得体会。
评分2019-06-28：白帽子，阿里云安全负责人吴翰清的一本书，Web安全的入门书。有用是服务端安全和企业运营。可读。
评分没有先验知识体验很差 知识没有成一个体系 太碎片化了
评分挺好看的
评分没有先验知识体验很差 知识没有成一个体系 太碎片化了
评分用讲常识的方式组织，因此不太结构化，每部分内容都是泛泛而谈，内容稍有些陈旧了，对毫无经验者建立概念比较适合。
相关图书
本站所有内容均为互联网搜索引擎提供的公开搜索信息，本站不存储任何数据与内容，任何内容与数据均与本站无关，如有需要请联系相关搜索引擎包括但不限于百度，google,bing,sogou 等
© 2026 book.quotespace.org All Rights Reserved. 小美书屋 版权所有