《白帽子讲web安全》学习笔记 （1）

第1章 我的安全世界观

1.exploit：黑客们使用的漏洞利用代码。有漏洞不一定就有exploit（利用)，有exploit就肯定有漏洞。漏洞是存在于一个程序、算法或者协议中的错误，可能带来一定的安全问题。但不是所有的漏洞都是能够被利用来攻击的，理论上存在的漏洞，并不代表这个漏洞足以让攻击者去威胁你的系统。一个漏洞不能攻击一个系统，并不代表两个或多个漏洞组合就不能攻击一个系统。

2.安全的本质问题是信任问题。一切的安全方案设计的基础，都是建立在信任关系上的。我们必须相信一些东西，必须有一些最基本的假设，安全方案才能得以建立。

3.安全三要素是安全的基本组成元素，分别是机密性（confidentiality）、完整性（integrity）、可用性（availability）。机密性要求保护数据内容不能泄露，加密是实现机密性要求的常见手段。完整性则要求保护数据内容是完整、没有被篡改的。常见的技术手段是数字签名。可用性要求保护资源是“随需而得”。拒绝服务攻击，简称DoS（Denial of Service）破坏的是安全的可用性。

4.DoS攻击是指恶意的攻击网络协议实现的缺陷或直接通过野蛮手段残忍地耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务或资源访问，使目标系统服务系统停止响应甚至崩溃，而在此攻击中并不包括侵入目标服务器或目标网络设备。这些服务资源包括网络带宽，文件系统空间容量，开放的进程或者允许的连接。这种攻击会导致资源的匮乏，无论计算机的处理速度多快、内存容量多大、网络带宽的速度多快都无法避免这种攻击带来的后果。