从零开始学习WEB安全—-1白帽子20150308

• 花了一个过年的时候过了一遍白帽子WEB安全一书（精读比例50%），其中还跳过了加密算法漏洞的一章，理由会在后面补充。起初的想法是100%精读的，但是书本写的思维比较跳跃，虽然是出自淘宝安全大神，但是对于初学的菜鸟来说好多地方还是比较晦涩，所以就改变初衷，当作一个科普来读了。

  下面是对本书的理解：

  1. 能感受到作者试图将书写成一本科普读物的意图，其中也穿插了许多基础概念的讲述，但事实上对于我这种连xss都一知半解的菜鸟来说，要想一遍就能吸取其精华，着实有一些困难。
  2. 书本的逻辑性还是比较强的，一些基础的概念也做了比较详细的解释。新手的话用10天快速阅读我觉得也就够了，主要是对WEB安全有一个基础和模糊的了解。
  3. 加密算法漏洞那一章纯粹作者为了凑字数，可以忽略。理由：现在的加密算法体制都比较的完善，要试图通过破解算法抑或是找出算法实现的漏洞是比较困难的（算法晦涩难理解不说，实现算法的一般都是数学系出身并非传统意义上的码农，功能就是输入输出很少出错也很容易发现错误，大部分程序加密算法部分都是copy很少有程序员自己去写，这样出错的概率更低了）

  下面是我学习本书的一些收获：

  1. 了解到WEB安全主要就是动态页面所带来的一些问题。简单说就是攻击分三个阶段：1）向服务器提交恶意数据  2）服务器逻辑被恶意程序破坏，产生错误的结果   3）利用错误的结果达到目的。这三个阶段可以循环执行，知道达到我们的最终目的。
  2. 了解了主要的攻击的手段的原理xss，sql注入

   

  其实光学习这些是远远不够的，作者并没有从一开始就给我们具体的展示攻击的完整过程，所以即使你看完这本书，在动手的时候就会发现自己还缺点什么。缺什么呢，下本书的第一篇就会给出答案。黑客攻防技术宝典，是我打算接下来着重学习的一本书。