《白帽子讲Web安全》读书笔记

闲扯

再次拜读下这本书，肯定会有所新的收获。这本书之前送人了，不过忘了给谁了。。。只好下载网上的pdf版本来看了，并写下阅读笔记，内容以原文为主。

前言

Web 是互联网的核心，是未来云计算和移动互联网的最佳载体，因此 Web 安全也是互联网公司业务中最重要的组成部分。安全工程师的核心竞争力不在于他能拥有多少个 0day，掌握多少种安全技术，而是在于他对安全理解的深度，以及由此引申的看待安全问题的角度和高度。

注：对于现在我这个菜鸡而言，还是尽可能的学习技术，多挖0day。

黑帽子是指那些造成破坏的黑客，而白帽子则是研究安全，但不造成破坏的黑客。白帽子均以建设更安全的互联网为己任。

第一篇 我的安全世界观

安全评估的过程，可以简单分为 4 个阶段：资产等级划分、威胁分析、风险分析、确认解决方案。

Secure By Default 原则、纵深防御原则、数据与代码分离原则、不可预测性原则

第二篇 客户端脚本安全

浏览器的同源策略，限制了来自不同源的 “document” 或脚本，对当前 “document” 读取或设置某些属性。

浏览器沙箱

恶意网址拦截基于黑名单，常见的恶意网址分为两类：一类是挂马网站，通常包含恶意的脚本如 JavaScript 或 Flash，通过利用浏览器的漏洞（包括一些插件、控件漏洞）执行 shellcode，在用户电脑中植入木马；另一类是钓鱼网站

浏览器的安全以同源策略为基础，加深理解同源策略，才能把握住浏览器安全的本质。

XSS 攻击手法略，XSS的防御是复杂的，流行的浏览器都内置了一些对抗 XSS 的措施，比如 Firefox 的 CSP、Noscript 扩展，IE 8 内置的 XSS Filter 等。HttpOnly 解决的是 XSS 后的 Cookie 劫持攻击。输入检查、输出检查（分析情景正确编码）、处理富文本。

注：XSS 技巧（gainover、mramydnei 等师傅的案例）

浏览器所持有的 Cookie 分为两种：一种是 “Session Cookie”，另一种 “Third-party Cookie”，前者浏览器关闭失效，后者到了 Expire 时间后失效

CSRF 的防御 Referer Check、Anti CSRF Token

ClickJacking 的防御 frame busting、X-Frame-Options

HTML5 安全

第三篇 服务端应用安全

第四篇 互联网公司安全运营

转载于:https://www.cnblogs.com/skrr/p/11153223.html