没有合适的资源?快使用搜索试试~ 我知道了~
首页吴翰清亲授:揭秘Web安全实战全攻略
吴翰清亲授:揭秘Web安全实战全攻略
需积分: 10 11 下载量 65 浏览量
更新于2024-07-18
1
收藏 17.14MB PDF 举报
《白帽子讲Web安全》是由吴翰清编著的一本深入剖析网络时代Web安全的专业书籍,共计43.9万字,大小为20.00MB,具有较高的学术价值和实用性。该书在2014年6月1日首次出版,后在2015年1月3日进行了更新,体现了作者深厚的专业背景和丰富的实践经验。作为国内唯一多语种全球发行的安全著作,它荣获了最佳原创技术图书大奖,显示了其在业界的高度认可。 书中作者以自身在顶级互联网公司的经历为基础,提供了大量实战案例和解决方案,强调了在日益复杂多变的网络环境中如何有效保护数据和个人隐私。作者不仅关注安全开发流程,还深入剖析了常见的错误方法和误区,对安全工作者具有很高的参考价值,帮助他们提升技能和理解行业动态。 前言部分讲述了作者撰写此书的背景,即在云计算热潮兴起时,由于市场上关于云计算安全的资料稀缺,他选择转向更基础但也至关重要的Web安全领域。他分享了自己对安全的兴趣起源,起始于中学时期对黑客教程的探索,这成为他日后职业生涯的重要基石。 在大学期间,作者充分利用学校的计算机实验室资源,通过实践和学习,快速成长为网络安全领域的专家。他还提到创建了一个名为“幻影旅团”的技术型安全组织,这个平台对于培养网络安全行业的优秀人才起到了关键作用,这也是他生涯中的重要成就。 《白帽子讲Web安全》是一本实用性和理论相结合的指南,适合广大网络安全从业人员、开发者以及对Web安全感兴趣的读者阅读,无论是为了提升安全意识,还是寻求专业技能提升,都能从中受益匪浅。同时,它的全球发行版纪念意义也体现了作者对于网络安全研究和教育的深远影响。
资源详情
资源推荐
![](https://csdnimg.cn/release/download_crawler_static/10625702/bg10.jpg)
整个互联网笼罩在黑色产业链的阴影之下,每年数十亿的经济损失和数
千万的网民受害,以及黑客精神的死亡,使得我们没有理由不把此时称
为黑暗时代。也许黑客精神所代表的Open、Free、Share,真的一去不
复返了!
1.1.2 黑客技术的发展历程
从黑客技术发展的角度看,在早期,黑客攻击的目标以系统软件居多。
一方面,是由于这个时期的Web技术发展还远远不成熟;另一方面,则
是因为通过攻击系统软件,黑客们往往能够直接获取root权限。这段时
期,涌现出了非常多的经典漏洞以及“exploit”。比如著名的黑客组织
TESO,就曾经编写过一个攻击SSH的exploit,并公然在ex-ploit的
banner中宣称曾经利用这个exploit入侵过cia.gov(美国中央情报局)。
下面是这个exploit的一些信息。
root@plac /bin >> ./ssh
linux/x86 sshd1 exploit by zip/TESO
(zip@james.kalifornia.com) - ripped from
openssh 2.2.0 src
greets: mray, random, big t, sh1fty, scut,
dvorak
ps. this sploit already owned cia.gov :/
**please pick a type**
Usage: ./ssh host [options]
Options:
-p port
-b base Base address to start bruteforcing
distance, by default 0x1800,
goes as high as 0x10000
-t type
-d debug mode
-o Add this to delta_min
types:
0: linux/x86 ssh.com 1.2.26-1.2.31 rhl
1: linux/x86 openssh 1.2.3 (maybe others)
2: linux/x86 openssh 2.2.0p1 (maybe others)
![](https://csdnimg.cn/release/download_crawler_static/10625702/bg11.jpg)
3: freebsd 4.x, ssh.com 1.2.26-1.2.31 rhl
有趣的是,这个exploit还曾经出现在著名电影《黑客帝国2》中:
电影《黑客帝国2》
放大屏幕上的文字可以看到:
![](https://csdnimg.cn/release/download_crawler_static/10625702/bg12.jpg)
电影《黑客帝国2》中使用的著名exploit
在早期互联网中,Web并非互联网的主流应用,相对来说,基于
SMTP、POP3、FTP、IRC等协议的服务拥有着绝大多数的用户。因此
黑客们主要的攻击目标是网络、操作系统以及软件等领域,Web安全领
域的攻击与防御技术均处于非常原始的阶段。
相对于那些攻击系统软件的exploit而言,基于Web的攻击,一般只能让
黑客获得一个较低权限的账户,对黑客的吸引力远远不如直接攻击系统
软件。
但是时代在发展,防火墙技术的兴起改变了互联网安全的格局。尤其是
以Cisco、华为等为代表的网络设备厂商,开始在网络产品中更加重视
网络安全,最终改变了互联网安全的走向。防火墙、ACL技术的兴起,
使得直接暴露在互联网上的系统得到了保护。
比如一个网站的数据库,在没有保护的情况下,数据库服务端口是允许
任何人随意连接的;在有了防火墙的保护后,通过ACL可以控制只允许
信任来源的访问。这些措施在很大程度上保证了系统软件处于信任边界
之内,从而杜绝了大部分的攻击来源。
2003年的冲击波蠕虫是一个里程碑式的事件,这个针对Windows操作
系统RPC服务(运行在445端口)的蠕虫,在很短的时间内席卷了全
球,造成了数百万台机器被感染,损失难以估量。在此次事件后,网络
运营商们很坚决地在骨干网络上屏蔽了135、445等端口的连接请求。
此次事件之后,整个互联网对于安全的重视达到了一个空前的高度。
运营商、防火墙对于网络的封锁,使得暴露在互联网上的非Web服务越
来越少,且Web技术的成熟使得Web应用的功能越来越强大,最终成为
了互联网的主流。黑客们的目光,也渐渐转移到了Web这块大蛋糕上。
![](https://csdnimg.cn/release/download_crawler_static/10625702/bg13.jpg)
实际上,在互联网安全领域所经历的这个阶段,还有另外一个重要的分
支,即桌面软件安全,或者叫客户端软件安全。其代表是浏览器攻击。
一个典型的攻击场景是,黑客构造一个恶意网页,诱使用户使用浏览器
访问该网页,利用浏览器中存在的某些漏洞,比如一个缓冲区溢出漏
洞,执行shellcode,通常是下载一个木马并在用户机器里执行。常见
的针对桌面软件的攻击目标,还包括微软的Office系列软件、Adobe
Acrobat Reader、多媒体播放软件、压缩软件等装机量大的流行软件,
都曾经成为黑客们的最爱。但是这种攻击,和本书要讨论的Web安全还
是有着本质的区别,所以即使浏览器安全是Web安全的重要组成部分,
但在本书中,也只会讨论浏览器和Web安全有关的部分。
1.1.3 Web安全的兴起
Web攻击技术的发展也可以分为几个阶段。在Web 1.0时代,人们更多
的是关注服务器端动态脚本的安全问题,比如将一个可执行脚本(俗称
webshell)上传到服务器上,从而获得权限。动态脚本语言的普及,以
及Web技术发展初期对安全问题认知的不足导致很多“血案”的发生,同
时也遗留下很多历史问题,比如PHP语言至今仍然只能靠较好的代码规
范来保证没有文件包含漏洞,而无法从语言本身杜绝此类安全问题的发
生。
SQL注入的出现是Web安全史上的一个里程碑,它最早出现大概是在
1999年,并很快就成为Web安全的头号大敌。就如同缓冲区溢出出现
时一样,程序员们不得不日以继夜地去修改程序中存在的漏洞。黑客们
发现通过SQL注入攻击,可以获取很多重要的、敏感的数据,甚至能够
通过数据库获取系统访问权限,这种效果并不比直接攻击系统软件差,
Web攻击一下子就流行起来。SQL注入漏洞至今仍然是Web安全领域中
的一个重要组成部分。
![](https://csdnimg.cn/release/download_crawler_static/10625702/bg14.jpg)
XSS(跨站脚本攻击)的出现则是Web安全史上的另一个里程碑。实际
上,XSS的出现时间和SQL注入差不多,但是真正引起人们重视则是在
大概2003年以后。在经历了MySpace的XSS蠕虫事件后,安全界对
XSS的重视程度提高了很多,OWASP 2007 TOP 10威胁甚至把XSS排
在榜首。
伴随着Web 2.0的兴起,XSS、CSRF等攻击已经变得更为强大。Web
攻击的思路也从服务器端转向了客户端,转向了浏览器和用户。黑客们
天马行空的思路,覆盖了Web的每一个环节,变得更加的多样化,这些
安全问题,在本书后续的章节中会深入地探讨。
Web技术发展到今天,构建出了丰富多彩的互联网。互联网业务的蓬勃
发展,也催生出了许多新兴的脚本语言,比如Python、Ruby、NodeJS
等,敏捷开发成为互联网的主旋律。而手机技术、移动互联网的兴起,
也给HTML 5带来了新的机遇和挑战。与此同时,Web安全技术,也将
紧跟着互联网发展的脚步,不断地演化出新的变化。
剩余717页未读,继续阅读
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![-](https://csdnimg.cn/download_wenku/file_type_column_c1.png)
![-](https://csdnimg.cn/download_wenku/file_type_column_c1.png)
![-](https://csdnimg.cn/download_wenku/file_type_column_c1.png)
![-](https://csdnimg.cn/download_wenku/file_type_column_c1.png)
![-](https://csdnimg.cn/download_wenku/file_type_column_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://profile-avatar.csdnimg.cn/0182b2050922465590f44f63a48e0d51_taotai110.jpg!1)
taotai110
- 粉丝: 0
- 资源: 8
上传资源 快速赚钱
我的内容管理 展开
我的资源 快来上传第一个资源
我的收益
登录查看自己的收益我的积分 登录查看自己的积分
我的C币 登录后查看C币余额
我的收藏
我的下载
下载帮助
![](https://csdnimg.cn/release/wenkucmsfe/public/img/voice.245cc511.png)
最新资源
- Vue实现iOS原生Picker组件:详细解析与实现思路
- Arduino蓝牙小车:参数调试与功能控制
- 百度Java面试精华:200页精选资源涵盖核心知识点
- Swift使用CoreData填坑指南:CoreData在Swift 3.0的变化
- 微距离无线充电器创新设计及其实验探索
- MTK Android平台开发全攻略:44步详解流程
- RecyclerView全面解析:替代ListView的新选择
- Android开发:自动适配中英文键盘解决方案
- Android调用WebService接口教程
- Android开发:BitmapUtil图片处理全解析与实例
- Android多线程断点续传实现详解
- PCA算法在人脸识别会议签到系统中的应用
- EventBus 3.0:Android事件总线详解与实战应用
- Android FileUtil:全面解析文件操作实用技巧与实例
- RecyclerView添加头部和尾部实战教程
- Android实现微博滑动固定顶部栏实战与优化
资源上传下载、课程学习等过程中有任何疑问或建议,欢迎提出宝贵意见哦~我们会及时处理!
点击此处反馈
![](https://img-home.csdnimg.cn/images/20220527035711.png)
![](https://img-home.csdnimg.cn/images/20220527035711.png)
![](https://img-home.csdnimg.cn/images/20220527035111.png)
安全验证
文档复制为VIP权益,开通VIP直接复制
![](https://csdnimg.cn/release/wenkucmsfe/public/img/green-success.6a4acb44.png)