❶ 想成為白帽子需要學些什麼最近在看《白帽子講web安全》，可是發現自己看不懂，學校有在學web編程
1、學習基本的網路編程語言，比如html
2、學習腳本編程語言，比如python，js
2、學習網路協議，主要是應用層協議http等
3、學習了以上三點之後，繼續學習掌握基本的web攻擊手段和防護原理，可參考刺總的《白帽子講web安全》
4、了解滲透流程，比如踩點、嗅探等
5、熟悉主流web滲透工具，建議可以安裝kali操作系統，裡面都有集成
希望對你有幫助。
❷ 湖南神童吳翰清：15歲考入西交大，被稱為阿里守護神，現狀如何
1985年，吳翰清出生在湖南長沙的一個高知家庭，父親是名醫生，母親是名大學老師，吳翰清是家中的獨生子。
身為知識分子，父母深知教育的重要性，所以，他們非常重視兒子的啟蒙教育，三歲的時候，就開始教授吳翰清識字。
吳翰清也沒辜負父母的期望， 年紀小小就展現出驚人的天賦，無論是超強的記憶力，還是異於同齡孩子的學習力。
一個字，父母念三遍，他就能寫出來租簡，一道數學題，他總會舉一反三，很快解出來。父母自然注意到了吳翰清的天資聰穎，所以為他找來小學課本。
此後，在同齡孩子玩耍的年紀，吳翰清已經踏上學業的道路。
1997年，吳翰清考入湖南大學附屬中學， 進入初中後，他勤奮好學，刻苦鑽研，因此成績優名列前茅。不過，相比其他的學霸，吳翰清的身上有一種「叛逆性」，那就是喜歡挑戰，喜歡一切未知的東西。
2000年，15歲的吳翰清升入該校高中，也是在這年，他報考了西安交通大學的少年班，最終吳翰清通過層層選拔，在眾多才子中，脫穎而出，最終，順利被西安交通大學錄取。 這年，湖南省只有2名考生進入西交大的少年班。此時，吳翰清有了 「神童」 的稱號。
進入少年班，吳翰清選擇了計算機專業。在他看來，這個專業既新穎又具挑戰性，很值得學習。正好這年，計算機出現了「千年蟲危機」。
懷著好奇和興趣，吳翰清開始學習計算機，沒想到，這一學，卻是找到真正的興趣，那就是黑客技術，為此，他日夜鑽研。即使父母時常批評吳翰清，他也樂此不疲。
從小到大，吳翰清的自學能力都是極強的，無論是知識學習，還是實際歷練，所以黑客技術的學習也是如此。
說到黑客技術，就不得不提它的分類。簡單來說，黑客分為三類：一類是黑帽子，這類黑客的行為是惡意的，是有害的；一類是白帽子，他們是有益的；還有一類是灰帽子，這類黑客往往是有爭議性的，他們用的是黑帽子的技能，但他們的目的和意圖卻是善意的。
在這三類中，吳翰清選擇了第二類——白帽黑客。此後，他花費了一年的時間，熟練掌握這門技術，不僅如此， 他還創立了一個名叫「幻影旅團」的信息安全組織。這年，吳翰清只有16歲。
雖然，吳翰清年紀小，但他的技術卻不弱，因此，他創建的「幻影旅團」集結了各地的計算機大神。當然，大家學習黑客技術目的是善意的，都想著守護中國互聯網安全。
在目標的驅使下，大家熱血沸騰。為了將「幻影旅團」辦好，他們還湊錢租用網站伺服器，他們也沒想著回報，只想著用技術守護國家。
在大家的努力下，「幻影旅團」也是越辦越好 。一度成為當時國內極具影響力的網路安全組織之一。可是，「幻影旅團」的路並沒有走多久。
2003年，迎接「幻影旅團」的是接連不斷的DDoS攻擊 ，可此時的吳翰清等人卻是束手無策，因為他們沒有資金租用資源抵抗攻擊。最終導致網站無法訪問。
在攻擊者的多次挑釁下，吳翰清只能親手關閉了它。這個選擇對他而言，是氣憤的，也是無奈的。
十幾年後，再提起這段歲月，吳翰清少了氣憤，卻多了幾分遺憾。他說 ：「大家的技術都那麼厲害，要是幻影旅團繼續走下去，說不定會成為網路安全界的CSDN」。
雖然吳翰清的設想沒成真，但幻影旅團的成員卻都有了好歸屬。他們都用自己的身份、自己的方式，在守護網路的和平與安全。
2005年， 20歲的吳翰清順利畢業。 此時，他看中了阿里巴巴的發展前景，所以，帶著幾分熱忱，去了阿里。
吳翰清的面試簡歷自然是優秀的，不說他的少年班經歷，就是他小小年紀，創建了「幻影旅團」，也是讓人欽佩的。
再加上面試現場，吳翰清的出色表現，也讓在銷塵場的幾位面試官豎起來了大拇指，他們由內而外地對這位年輕人多了幾分尊重。最後，他們一致決定，吳翰清弊斗褲擔任公司的高級安全專家。而這份工作邀約在面試現場就被發放了。
此後，實習了6個月，吳翰清就正式成為阿里的一員了，他的工作內容是負責建設和維護阿里的安全系統，防止厲害的黑客攻擊公司網路。
也是在這年，阿里建立了「神盾局」，身為「網路特工隊」，它每天服務數以萬計的消費者。職責也是多樣的：保護交易安全性;保護隱私信息;保護數據安全等等。
在其位謀其職，成為「神盾局」反黑客團隊的一員，吳翰清盡職盡責，不放過網路上的任何一個漏洞。吳翰清見證了，阿里網路安全部門的新開始。
2008年，吳翰清成為安全技術團隊的帶頭人。近幾年，隨著阿里的發展，他面臨的挑戰也是越來越大，為了從萬億條數據中，找到入侵行徑，以及在極短的時間里完成後續處理工作，吳翰清和他的團隊還打造了世界級的反入侵體系。
隨著時間的流逝，吳瀚清的網路安全部門在阿里也有了舉足輕重的地位。身為部門的帶頭人，吳翰清本人在網路安全領域的名聲也很大。
此時，他有了各種各樣的稱呼，「阿里的守護神」、「道哥」、「刺」、「小黑」以及「讓馬雲安睡的男人」.......
對於大家的誇贊，吳翰清總是一笑而過，他說 ：「阿里的網路安全，不僅是我一個人的功勞。而是大家共同努力的成果」。
2008年底，當時擔任微軟亞洲研究院常務副院長的王堅，受到馬雲的邀請，前往阿里做雲計算。
王堅進入阿里後，看中了吳翰清。所以在王堅的盛情邀請下， 吳翰清參與「飛天系統」的安全設計。 能得到伯樂的賞識，吳翰清這匹「千里馬」自然是欣喜的，他也以為自己迎來了新的發展機會，萬萬沒想到這條路並不好走。
當時，阿里雲的雲計算遲遲沒有新進展，公司內部也對王堅頗有微詞，聲稱他就是個騙子，大家對阿里雲充滿了質疑，覺得阿里雲只見投資，不見回報。
這樣的壓力也給到了王堅下面的其他員工，當時，一位員工這樣說 「這個階段的我，就像站在淤泥里，想要使勁，卻發現頭頂還有一輛車，實在是讓人無力」。
有這樣感受的，還包括吳瀚清。所以，此時的他，決定離開這里，尋找新的出路。
2012年，在阿里任職了七年的吳翰清不顧王堅的極力挽留，辭職了。 這年，他27歲。之後，吳翰清加入了一家創業公司，名為「安全寶」。他是公司的副總裁。
此時的他，為了將自己的安全技術分享給更多的人，寫了一本名叫 《白帽子講Web安全》 的書籍，令吳翰清驚喜的是，他的書籍一經發表，就迎來了無數看客。
與驚喜相伴而來的便是，創業的艱巨性。就這樣苦苦堅持了兩年，「安全寶」不但沒有走上正軌，反而愈加敗落。
恰巧這個時候，王堅開始邀請吳翰清再次加入阿里。此時，他心動了，結合阿里雲的發展現狀，他已經看到了廣闊的前景。就這樣，他將公司的業務分別賣給了網路和阿里。然後，帶著公司的幾個骨幹，再次去了阿里。
2014年9月，吳清翰回歸阿里，成為「 雲盾」的負責人。「 盾」顧名思義，便是盾牌，起到網路防護作用，主要維護雲平台，雲網路環境等雲上安全。
當時 「 雲盾」僅有20人，比例占不到阿里雲總人數的十分之一，即使如此，吳清翰也信心滿滿，他堅信自己會帶領團隊越走越走。
事實情況，的確如他設想的那般，在此後大大小小的網路危機中，吳清翰和他的團隊永遠走在最前列。此後，他和他的團隊幫助全國將近一半的網站，每天抵擋16億次的惡意攻擊，幫助用戶修補數百萬個漏洞。
2015 年 9 月，阿里雲發生了自建立以來，最大的DDoS 攻擊，被稱為901 事件。身為「雲盾」的負責人，30歲的吳翰清親自帶領團隊抵禦了這場風波，峰值達 453.8Gbps，攻擊高達5億次。
此後，吳翰清算是真正的一站成名。有人稱他 是「中國最強大的黑客」， 還有人說： 「阿里能走到現在，靠阿里雲做技術支撐，阿里雲能這么厲害，靠的是無數個吳翰清」。
這話一出，大家也是非常的贊同。他們都覺得，吳翰清為阿里的發展，貢獻了極大的力量。
2017 年 8 月，32 歲的吳翰清以阿里雲首席安全科學家的身份，入選「TR35」，也就是「全球未滿35歲的 科技 創新35人」。 與他入選的還有阿里人工智慧首席科學家王剛。之後，吳翰清的傳說越發離奇，關於他的軟文也是一篇又一篇。
隨後，這條微博被阿里的風險委員會主席邵曉鋒轉發，他說，對於黑阿里網站的人，他們不但不會聘請，還會報警。
說到這件事，就要提一下，大家傳播的面試版本： 面試途中，面試官問吳翰清：「你如何證明自己能夠勝任這項工作？」吳翰清微微一笑，然後提出一個請求：「希望可以借用貴公司的一台電腦」。
接著電腦就拿過來了，然後，吳翰清在三分鍾的時間里，運用自己的黑客技術，在遠程操作的情況下，將阿里內網的一台路由設備關了，導致公司網路癱瘓。
所以，這個版本僅僅是為了吸引大家的眼球，按照吳翰清本人的說法，這並不是真實的。總之，本人親自下場澄清謠言，大家也是相信居多。
2021年6月4日，身為「傑出校友」的吳翰清受到邀請，前往西安交通大學少年班，和20級少年班的學弟學妹們，進行互動交流。
在現場，吳翰清為大家講述了自己的人生經歷，並且從四個方面「寬容、堅持、感恩、敬畏」以己推人，他希望學弟學妹們，能夠成為一個對別人寬容、做事堅持不懈、常懷感恩之心，敬畏理想以及未來的優秀人才。
並且，吳翰清還告訴大家，人生的價值和意義在於對國家和 社會 做貢獻。一番交流，同學們掌聲不斷、異常激動。交流會的最後，同學們將自己親手製作的版畫《E=mc2》送給了吳翰清。
如今，吳翰清37歲了，他還是阿里集團的一員，不過他已經活躍在人工智慧領域了。 對於吳翰清而言，這是一個新的領域，可是，他是一個喜歡挑戰的人，所以，此時的他依然保持著剛入行的熱情和活力。
雖然吳翰清已經不在網路安全領域了，但他曾經的網路守護卻是值得阿里和人們銘記的，阿里之所以走到現在，擁有如此高的地位，是因為背後，有無數個「吳翰清」在默默守護。
❸ 白帽子講Web安全的目錄
《白帽子講web安全》第一篇 世界觀安全第1章 我的安全世界觀 21.1 web安全簡史 21.1.1 中國黑客簡史 21.1.2 黑客技術的發展歷程 31.1.3 web安全的興起 51.2 黑帽子，白帽子 61.3 返璞歸真，揭秘安全的本質 71.4 破除迷信，沒有銀彈 91.5 安全三要素 101.6 如何實施安全評估 111.6.1 資產等級劃分 121.6.2 威脅分析 131.6.3 風險分析 141.6.4 設計安全方案 151.7 白帽子兵法 161.7.1 secure by default原則 161.7.2 縱深防禦原則 181.7.3 數據與代碼分離原則 19.1.7.4 不可預測性原則 211.8 小結 22（附）誰來為漏洞買單？ 23第二篇 客戶端腳本安全第2章 瀏覽器安全 262.1 同源策略 262.2 瀏覽器沙箱 302.3 惡意網址攔截 332.4 高速發展的瀏覽器安全 362.5 小結 39第3章 跨站腳本攻擊（xss） 403.1 xss簡介 403.2 xss攻擊進階 433.2.1 初探xss payload 433.2.2 強大的xss payload 463.2.3 xss 攻擊平台 623.2.4 終極武器：xss worm 643.2.5 調試javascript 733.2.6 xss構造技巧 763.2.7 變廢為寶：mission impossible 823.2.8 容易被忽視的角落：flash xss 853.2.9 真的高枕無憂嗎：javascript開發框架 873.3 xss的防禦 893.3.1 四兩撥千斤：httponly 893.3.2 輸入檢查 933.3.3 輸出檢查 953.3.4 正確地防禦xss 993.3.5 處理富文本 1023.3.6 防禦dom based xss 1033.3.7 換個角度看xss的風險 1073.4 小結 107第4章 跨站點請求偽造（csrf） 1094.1 csrf簡介 1094.2 csrf進階 1114.2.1 瀏覽器的cookie策略 1114.2.2 p3p頭的副作用 1134.2.3 get? post? 1164.2.4 flash csrf 1184.2.5 csrf worm 1194.3 csrf的防禦 1204.3.1 驗證碼 1204.3.2 referer check 1204.3.3 anti csrf token 1214.4 小結 124第5章 點擊劫持（clickjacking） 1255.1 什麼是點擊劫持 1255.2 flash點擊劫持 1275.3 圖片覆蓋攻擊 1295.4 拖拽劫持與數據竊取 1315.5 clickjacking 3.0：觸屏劫持 1345.6 防禦clickjacking 1365.6.1 frame busting 1365.6.2 x-frame-options 1375.7 小結 138第6章 html 5 安全 1396.1 html 5新標簽 1396.1.1 新標簽的xss 1396.1.2 iframe的sandbox 1406.1.3 link types: noreferrer 1416.1.4 canvas的妙用 1416.2 其他安全問題 1446.2.1 cross-origin resource sharing 1446.2.2 postmessage——跨窗口傳遞消息 1466.2.3 web storage 1476.3 小結 150第三篇 伺服器端應用安全第7章 注入攻擊 1527.1 sql注入 1527.1.1 盲注（blind injection） 1537.1.2 timing attack 1557.2 資料庫攻擊技巧 1577.2.1 常見的攻擊技巧 1577.2.2 命令執行 1587.2.3 攻擊存儲過程 1647.2.4 編碼問題 1657.2.5 sql column truncation 1677.3 正確地防禦sql注入 1707.3.1 使用預編譯語句 1717.3.2 使用存儲過程 1727.3.3 檢查數據類型 1727.3.4 使用安全函數 1727.4 其他注入攻擊 1737.4.1 xml注入 1737.4.2 代碼注入 1747.4.3 crlf注入 1767.5 小結 179第8章 文件上傳漏洞 1808.1 文件上傳漏洞概述 1808.1.1 從fckeditor文件上傳漏洞談起 1818.1.2 繞過文件上傳檢查功能 1828.2 功能還是漏洞 1838.2.1 apache文件解析問題 1848.2.2 iis文件解析問題 1858.2.3 php cgi路徑解析問題 1878.2.4 利用上傳文件釣魚 1898.3 設計安全的文件上傳功能 1908.4 小結 191第9章 認證與會話管理 1929.1 who am i? 1929.2 密碼的那些事兒 1939.3 多因素認證 1959.4 session與認證 1969.5 session fixation攻擊 1989.6 session保持攻擊 1999.7 單點登錄（sso） 2019.8 小結 203第10章 訪問控制 20510.1 what can i do? 20510.2 垂直許可權管理 20810.3 水平許可權管理 21110.4 oauth簡介 21310.5 小結 219第11章 加密演算法與隨機數 22011.1 概述 22011.2 stream cipher attack 22211.2.1 reused key attack 22211.2.2 bit-flipping attack 22811.2.3 弱隨機iv問題 23011.3 wep破解 23211.4 ecb模式的缺陷 23611.5 padding oracle attack 23911.6 密鑰管理 25111.7 偽隨機數問題 25311.7.1 弱偽隨機數的麻煩 25311.7.2 時間真的隨機嗎 25611.7.3 破解偽隨機數演算法的種子 25711.7.4 使用安全的隨機數 26511.8 小結 265（附）understanding md5 length extension attack 267第12章 web框架安全 28012.1 mvc框架安全 28012.2 模板引擎與xss防禦 28212.3 web框架與csrf防禦 28512.4 http headers管理 28712.5 數據持久層與sql注入 28812.6 還能想到什麼 28912.7 web框架自身安全 28912.7.1 struts 2命令執行漏洞 29012.7.2 struts 2的問題補丁 29112.7.3 spring mvc命令執行漏洞 29212.7.4 django命令執行漏洞 29312.8 小結 294第13章 應用層拒絕服務攻擊 29513.1 ddos簡介 29513.2 應用層ddos 29713.2.1 cc攻擊 29713.2.2 限制請求頻率 29813.2.3 道高一尺，魔高一丈 30013.3 驗證碼的那些事兒 30113.4 防禦應用層ddos 30413.5 資源耗盡攻擊 30613.5.1 slowloris攻擊 30613.5.2 http post dos 30913.5.3 server limit dos 31013.6 一個正則引發的血案：redos 31113.7 小結 315第14章 php安全 31714.1 文件包含漏洞 31714.1.1 本地文件包含 31914.1.2 遠程文件包含 32314.1.3 本地文件包含的利用技巧 32314.2 變數覆蓋漏洞 33114.2.1 全局變數覆蓋 33114.2.2 extract()變數覆蓋 33414.2.3 遍歷初始化變數 33414.2.4 import_request_variables變數覆蓋 33514.2.5 parse_str()變數覆蓋 33514.3 代碼執行漏洞 33614.3.1 「危險函數」執行代碼 33614.3.2 「文件寫入」執行代碼 34314.3.3 其他執行代碼方式 34414.4 定製安全的php環境 34814.5 小結 352第15章 web server配置安全 35315.1 apache安全 35315.2 nginx安全 35415.3 jboss遠程命令執行 35615.4 tomcat遠程命令執行 36015.5 http parameter pollution 36315.6 小結 364第四篇 互聯網公司安全運營第16章 互聯網業務安全 36616.1 產品需要什麼樣的安全 36616.1.1 互聯網產品對安全的需求 36716.1.2 什麼是好的安全方案 36816.2 業務邏輯安全 37016.2.1 永遠改不掉的密碼 37016.2.2 誰是大贏家 37116.2.3 瞞天過海 37216.2.4 關於密碼取迴流程 37316.3 賬戶是如何被盜的 37416.3.1 賬戶被盜的途徑 37416.3.2 分析賬戶被盜的原因 37616.4 互聯網的垃圾 37716.4.1 垃圾的危害 37716.4.2 垃圾處理 37916.5 關於網路釣魚 38016.5.1 釣魚網站簡介 38116.5.2 郵件釣魚 38316.5.3 釣魚網站的防控 38516.5.4 網購流程釣魚 38816.6 用戶隱私保護 39316.6.1 互聯網的用戶隱私挑戰 39316.6.2 如何保護用戶隱私 39416.6.3 do-not-track 39616.7 小結 397（附）麻煩的終結者 398第17章 安全開發流程（sdl） 40217.1 sdl簡介 40217.2 敏捷sdl 40617.3 sdl實戰經驗 40717.4 需求分析與設計階段 40917.5 開發階段 41517.5.1 提供安全的函數 41517.5.2 代碼安全審計工具 41717.6 測試階段 41817.7 小結 420第18章 安全運營 42218.1 把安全運營起來 42218.2 漏洞修補流程 42318.3 安全監控 42418.4 入侵檢測 42518.5 緊急響應流程 42818.6 小結 430（附）談談互聯網企業安全的發展方向 431· · · · · ·
❹ 白帽子講Web安全的序言
2012年農歷春節，我回到了浙西的老家，外面白雪皚皚。在這與網路隔離的小鄉村裡，在這可以夜不閉戶的小鄉村裡，過著與網路無關、與安全無關的生活，而我終於可以有時間安安靜靜拜讀吳翰清先生的這本大作了。
認識吳翰清先生源於網路、源於安全，並從網路走向生活，成為朋友。他對於安全技術孜孜不倦的研究，使得他年紀輕輕便成為系統、網路、Web等多方面安全的專家；他對於安全技術的分享，創建了「幻影旅團」組織，培養了一批安全方面的技術人才，並帶動了整個行業的交流氛圍；他和同事在大型互聯網公司對安全方面的不斷實踐，全面保護著阿里巴巴集團的安全；他對於安全的反思和總結並發布在他的博客上，使得我們能夠更為深入地理解安全的意義，處理安全問題的方法論。而今天，很幸運，我們能系統的地看到吳翰清先生多年在大型互聯網公司工作實踐、總結反思所積累的安全觀和Web安全技術。
中國人自己編寫的安全專著不多，而在這為數不多的書中，絕大部分也都是「黑客攻擊」速成手冊。這些書除了在技術上僅立足於零碎的技術點、工具使用手冊、攻擊過程演示，不系統之外，更為關鍵的是，它們不是以建設者的角度去解決安全問題。吳翰清先生是我非常佩服的「白帽子」，他和一群志同道合的朋友，一直以建設更安全的互聯網為己任，系統地研究安全，積極分享知識，為中國的互聯網安全添磚加瓦。而這本書也正是站在白帽子的視角，講述Web安全的方方面面，它剖析攻擊原理，目的是讓互聯網開發者、技術人員了解原理，並通過自身的實踐，告訴大家分析這些問題的方法論、思想以及對應的防範方案。
最讓我共鳴的是「安全運營」的思路，我相信這也是吳翰清先生這么多年在互聯網公司工作的最大收獲之一，因為運營是互聯網公司的最大特色和法寶。安全是一個動態的過程，因為敵方攻擊手段在變，攻擊方法在變，漏洞不斷出現；我方業務在變，軟體在變，人員在變，妄圖通過一個系統、一個方案解決所有的問題是不現實的，也是不可能的，安全需要不斷地運營、持續地優化。
瑞雪兆豐年，一直在下的雪預示著今年的豐收。我想在經歷了2011年中國互聯網最大安全危機之後，如白雪一樣純潔的《白帽子講Web安全》應該會給廣大的從事互聯網技術人員帶來更多的幫助，保障中國互聯網的安全，迎來互聯網的又一個春天。
季昕華 Benjurry
❺ 白帽子講wed安全的書有效果嗎
在互聯網時代，數據安全與個人隱私受到了前所未有的挑戰，各種新奇的攻擊技術層出不窮。如何才能更好地保護我們的數據？本書將帶你走進web安全的世界，讓你了解web安全的方方面面。黑客不再變得神秘，攻擊技術原來我也可以會，小網站主自己也能找到正確的安全道路。大公司是怎麼做安全的，為什麼要選擇這樣的方案呢？你能在本書中找到答案。詳細的剖析，讓你不僅能「知其然」，更能「知其所以然」。
《白帽子講web安全》是根據作者若干年實際工作中積累下來的豐富經驗而寫成的，在解決方案上具有極強的可操作性，深入分析了各種錯誤的解決方案與誤區，對安全工作者有很好的參考價值。安全開發流程與運營的介紹，對同行業的工作具有指導意義。
編輯推薦
「安全是互聯網公司的生命，也是每一位網民的最基本需求。
一位天天聽到炮聲的白帽子和你分享如何呵護生命，滿足最基本需求。這是一本能聞到硝煙味道的書。」
——阿里巴巴集團首席架構師 阿里雲總裁 王堅
白帽子講web安全 作譯者:
吳翰清，畢業於西安交通大學少年班，從2000年開始研究網路攻防技術。在大學期間創立
了在中國安全圈內極具影響力的組織「幻影」。
2005年加入********，負責網路安全。工作期間，對********的安全開發流程、應用安全建設做出了傑出的貢獻，並多次獲得公司的表彰。曾先後幫助淘寶、支付寶建立了應用安全體系，保障公司業務得以快速而安全地發展。
2009年起，加入********支計算有限公司，負責雲計算安全、反網路欺詐等工作，是********集團最具價值的安全專家。長期專注於安全技術的創新與實踐，多有建樹。同時還是owasp在中國的區域負責人之一，在互聯網安全領域有著極其豐富的經驗。平時樂於分享，個人博客的訪問量迄今超過200萬。多年來活躍在安全社區中，有著巨大的影響力。多次受邀在國內、國際安全會議上演講，是中國安全行業的領軍人物之一。
白帽子講web安全 目錄：
第一篇 世界觀安全
第1章 我的安全世界觀 2
1.1 web安全簡史 2
1.1.1 中國黑客簡史 2
1.1.2 黑客技術的發展歷程 3
1.1.3 web安全的興起 5
1.2 黑帽子，白帽子 6
1.3 返璞歸真，揭秘安全的本質 7
1.4 破除迷信，沒有銀彈 9
1.5 安全三要素 10
1.6 如何實施安全評估 11
1.6.1 資產等級劃分 12
1.6.2 威脅分析 13
1.6.3 風險分析 14
1.6.4 設計安全方案 15
1.7 白帽子兵法 16
1.7.1 secure by default原則 16
1.7.2 縱深防禦原則 18
1.7.3 數據與代碼分離原則 19
.1.7.4 不可預測性原則 21
1.8 小結 22
（附）誰來為漏洞買單？ 23
第二篇 客戶端腳本安全
第2章 瀏覽器安全 26
2.1 同源策略 26
2.2 瀏覽器沙箱 30
2.3 惡意網址攔截 33
2.4 高速發展的瀏覽器安全 36
2.5 小結 39
第3章 跨站腳本攻擊（xss） 40
3.1 xss簡介 40
3.2 xss攻擊進階 43
3.2.1 初探xss payload 43
3.2.2 強大的xss payload 46
3.2.3 xss 攻擊平台 62
3.2.4 終極武器：xss worm 64
3.2.5 調試javascript 73
3.2.6 xss構造技巧 76
3.2.7 變廢為寶：mission impossible 82
3.2.8 容易被忽視的角落：flash xss 85
3.2.9 真的高枕無憂嗎：javascript開發框架 87
3.3 xss的防禦 89
3.3.1 四兩撥千斤：httponly 89
3.3.2 輸入檢查 93
3.3.3 輸出檢查 95
3.3.4 正確地防禦xss 99
3.3.5 處理富文本 102
3.3.6 防禦dom based xss 103
3.3.7 換個角度看xss的風險 107
3.4 小結 107
第4章 跨站點請求偽造（csrf） 109
4.1 csrf簡介 109
4.2 csrf進階 111
4.2.1 瀏覽器的cookie策略 111
4.2.2 p3p頭的副作用 113
4.2.3 get? post? 116
4.2.4 flash csrf 118
4.2.5 csrf worm 119
4.3 csrf的防禦 120
4.3.1 驗證碼 120
4.3.2 referer check 120
4.3.3 anti csrf token 121
4.4 小結 124
第5章 點擊劫持（clickjacking） 125
5.1 什麼是點擊劫持 125
5.2 flash點擊劫持 127
5.3 圖片覆蓋攻擊 129
5.4 拖拽劫持與數據竊取 131
5.5 clickjacking 3.0：觸屏劫持 134
5.6 防禦clickjacking 136
5.6.1 frame busting 136
5.6.2 x-frame-options 137
5.7 小結 138
第6章 html 5 安全 139
6.1 html 5新標簽 139
6.1.1 新標簽的xss 139
6.1.2 iframe的sandbox 140
6.1.3 link types: noreferrer 141
6.1.4 canvas的妙用 141
6.2 其他安全問題 144
6.2.1 cross-origin resource sharing 144
6.2.2 postmessage——跨窗口傳遞消息 146
6.2.3 web storage 147
6.3 小結 150
第三篇 伺服器端應用安全
第7章 注入攻擊 152
7.1 sql注入 152
7.1.1 盲注（blind injection） 153
7.1.2 timing attack 155
7.2 資料庫攻擊技巧 157
7.2.1 常見的攻擊技巧 157
7.2.2 命令執行 158
7.2.3 攻擊存儲過程 164
7.2.4 編碼問題 165
7.2.5 sql column truncation 167
7.3 正確地防禦sql注入 170
7.3.1 使用預編譯語句 171
7.3.2 使用存儲過程 172
7.3.3 檢查數據類型 172
7.3.4 使用安全函數 172
7.4 其他注入攻擊 173
7.4.1 xml注入 173
7.4.2 代碼注入 174
7.4.3 crlf注入 176
7.5 小結 179
第8章 文件上傳漏洞 180
8.1 文件上傳漏洞概述 180
8.1.1 從fckeditor文件上傳漏洞談起 181
8.1.2 繞過文件上傳檢查功能 182
8.2 功能還是漏洞 183
8.2.1 apache文件解析問題 184
8.2.2 iis文件解析問題 185
8.2.3 php cgi路徑解析問題 187
8.2.4 利用上傳文件釣魚 189
8.3 設計安全的文件上傳功能 190
8.4 小結 191
第9章 認證與會話管理 192
9.1 who am i? 192
9.2 密碼的那些事兒 193
9.3 多因素認證 195
9.4 session與認證 196
9.5 session fixation攻擊 198
9.6 session保持攻擊 199
9.7 單點登錄（sso） 201
9.8 小結 203
第10章 訪問控制 205
10.1 what can i do? 205
10.2 垂直許可權管理 208
10.3 水平許可權管理 211
10.4 oauth簡介 213
10.5 小結 219
第11章 加密演算法與隨機數 220
11.1 概述 220
11.2 stream cipher attack 222
11.2.1 reused key attack 222
11.2.2 bit-flipping attack 228
11.2.3 弱隨機iv問題 230
11.3 wep破解 232
11.4 ecb模式的缺陷 236
11.5 padding oracle attack 239
11.6 密鑰管理 251
11.7 偽隨機數問題 253
11.7.1 弱偽隨機數的麻煩 253
11.7.2 時間真的隨機嗎 256
11.7.3 破解偽隨機數演算法的種子 257
11.7.4 使用安全的隨機數 265
11.8 小結 265
（附）understanding md5 length extension attack 267
第12章 web框架安全 280
12.1 mvc框架安全 280
12.2 模板引擎與xss防禦 282
12.3 web框架與csrf防禦 285
12.4 http headers管理 287
12.5 數據持久層與sql注入 288
12.6 還能想到什麼 289
12.7 web框架自身安全 289
12.7.1 struts 2命令執行漏洞 290
12.7.2 struts 2的問題補丁 291
12.7.3 spring mvc命令執行漏洞 292
12.7.4 django命令執行漏洞 293
12.8 小結 294
第13章 應用層拒絕服務攻擊 295
13.1 ddos簡介 295
13.2 應用層ddos 297
13.2.1 cc攻擊 297
13.2.2 限制請求頻率 298
13.2.3 道高一尺，魔高一丈 300
13.3 驗證碼的那些事兒 301
13.4 防禦應用層ddos 304
13.5 資源耗盡攻擊 306
13.5.1 slowloris攻擊 306
13.5.2 http post dos 309
13.5.3 server limit dos 310
13.6 一個正則引發的血案：redos 311
13.7 小結 315
第14章 php安全 317
14.1 文件包含漏洞 317
14.1.1 本地文件包含 319
14.1.2 遠程文件包含 323
14.1.3 本地文件包含的利用技巧 323
14.2 變數覆蓋漏洞 331
14.2.1 全局變數覆蓋 331
14.2.2 extract()變數覆蓋 334
14.2.3 遍歷初始化變數 334
14.2.4 import_request_variables變數覆蓋 335
14.2.5 parse_str()變數覆蓋 335
14.3 代碼執行漏洞 336
14.3.1 「危險函數」執行代碼 336
14.3.2 「文件寫入」執行代碼 343
14.3.3 其他執行代碼方式 344
14.4 定製安全的php環境 348
14.5 小結 352
第15章 web server配置安全 353
15.1 apache安全 353
15.2 nginx安全 354
15.3 jboss遠程命令執行 356
15.4 tomcat遠程命令執行 360
15.5 http parameter pollution 363
15.6 小結 364
第四篇 互聯網公司安全運營
第16章 互聯網業務安全 366
16.1 產品需要什麼樣的安全 366
16.1.1 互聯網產品對安全的需求 367
16.1.2 什麼是好的安全方案 368
16.2 業務邏輯安全 370
16.2.1 永遠改不掉的密碼 370
16.2.2 誰是大贏家 371
16.2.3 瞞天過海 372
16.2.4 關於密碼取迴流程 373
16.3 賬戶是如何被盜的 374
16.3.1 賬戶被盜的途徑 374
16.3.2 分析賬戶被盜的原因 376
16.4 互聯網的垃圾 377
16.4.1 垃圾的危害 377
16.4.2 垃圾處理 379
16.5 關於網路釣魚 380
16.5.1 釣魚網站簡介 381
16.5.2 郵件釣魚 383
16.5.3 釣魚網站的防控 385
16.5.4 網購流程釣魚 388
16.6 用戶隱私保護 393
16.6.1 互聯網的用戶隱私挑戰 393
16.6.2 如何保護用戶隱私 394
16.6.3 do-not-track 396
16.7 小結 397
（附）麻煩的終結者 398
第17章 安全開發流程（sdl） 402
17.1 sdl簡介 402
17.2 敏捷sdl 406
17.3 sdl實戰經驗 407
17.4 需求分析與設計階段 409
17.5 開發階段 415
17.5.1 提供安全的函數 415
17.5.2 代碼安全審計工具 417
17.6 測試階段 418
17.7 小結 420
第18章 安全運營 422
18.1 把安全運營起來 422
18.2 漏洞修補流程 423
18.3 安全監控 424
18.4 入侵檢測 425
18.5 緊急響應流程 428
18.6 小結 430
（附）談談互聯網企業安全的發展方向 431
❻ 《白帽子講Web安全》pdf下載在線閱讀，求百度網盤雲資源
《白帽子講Web安全》（吳翰清）電子書網盤下載免費在線閱讀
資源鏈接：
鏈接：https://pan..com/s/1H6cnKOPSE6oeI5CjPceG0g 提取碼：6q7e
書名：白帽子講Web安全
作者：吳翰清
豆瓣評分：8.2
出版社：電子工業出版社
出版年份：2012-3
頁數：432
內容簡介：
《白帽子講Web安全》內容簡介：在互聯網時代，數據安全與個人隱私受到了前所未有的挑戰，各種新奇的攻擊技術層出不窮。如何才能更好地保護我們的數據？《白帽子講Web安全》將帶你走進Web安全的世界，讓你了解Web安全的方方面面。黑客不再變得神秘，攻擊技術原來我也可以會，小網站主自己也能找到正確的安全道路。大公司是怎麼做安全的，為什麼要選擇這樣的方案呢？你能在《白帽子講Web安全》中找到答案。詳細的剖析，讓你不僅能「知其然」，更能「知其所以然」。
作者簡介：
吳翰清，畢業於西安交通大學少年班，從2000年開始研究網路攻防技術。在大學期間創立了在中國安全圈內極具影響力的組織「幻影」。
❼ 白帽子講Web安全的作者簡介
簡介：吳翰清，人稱道哥，中國年輕一代頂級黑客，阿里雲首席安全科學家。
吳翰清於 2005 年加入阿里，參與創建了阿里巴巴、淘寶、支付寶、阿里雲的應用安全體系。23 歲成為阿里巴巴最年輕的高級技術專家，是阿里安全從無到有、從有到強的親歷者。 安全寶副總裁，前阿里巴巴集團高級安全專家、資深總監。
畢業於西安交通大學少年班，從2000年開始研究網路攻防技術。在大學期間創立了在中國安全圈內極具影響力的組織「幻影」。2005年加入阿里巴巴，負責網路安全。工作期間，對阿里巴巴的安全開發流程、應用安全建設做出了傑出的貢獻，並多次獲得公司的表彰。
曾先後幫助淘寶、支付寶建立了應用安全體系，保障公司業務得以快速而安全地發展。2009年起，加入阿里巴巴雲計算有限公司，負責雲計算安全、反網路欺詐等工作，是阿里巴巴集團最具價值的安全專家。
(7)白帽講web安全擴展閱讀
《白帽子講Web安全》
內容簡介：在互聯網時代，數據安全與個人隱私受到了前所未有的挑戰，各種新奇的攻擊技術層出不窮。如何才能更好地保護我們的數據？本書將帶你走進Web安全的世界，讓你了解Web安全的方方面面。黑客不再變得神秘，攻擊技術原來我也可以會，小網站主自己也能找到正確的安全道路。大公司是怎麼做安全的，為什麼要選擇這樣的方案呢？你能在本書中找到答案。詳細的剖析，讓你不僅能「知其然」，更能「知其所以然」。
❽ 網路安全去應該去哪裡學習呢。
只要想學習哪裡學習都是有效果的。但需要結合自身的一些特點來調整學習方向，這樣學習起來會事半功倍，以下推薦3種學習線路，適用於不同的學習人群；
方法1：先學習編程，然後學習Web滲透及工具使用等
適用人群：有一定的代碼基礎的小夥伴
（1）基礎部分
基礎部分需要學習以下內容：
（1.1）計算機網路 ：
重點學習OSI、TCP/IP模型，網路協議，網路設備工作原理等內容，其他內容快速通讀；
【推薦書籍】《網路是怎樣連接的_戶根勤》一書，簡明扼要，淺顯易懂，初學者的福音；如果覺得不夠專業，可以學習圖靈設計叢書的《HTTP權威指南》；
（1.2）Linux系統及命令 ：
由於目前市面上的Web伺服器7成都是運行在Linux系統之上，如果要學習滲透Web系統，最起碼還是要對linux系統非常熟悉，常見的操作命令需要學會；
學習建議：學習常見的10%左右的命令適用於90%的工作場景，和office軟體一樣，掌握最常用的10%的功能，基本日常使用沒什麼問題，遇到不會的，再去找相關資料；常見的linux命令也就50-60個，很多小白囫圇吞棗什麼命令都學，這樣其實根本記不住。
【推薦書籍】Linux Basics for Hackers；
（1.3）Web框架 ：
熟悉web框架的內容，前端HTML，JS等腳本語言了解即可，後端PHP語言重點學習，切記不要按照開發的思路去學習語言，php最低要求會讀懂代碼即可，當然會寫最好，但不是開發，但不是開發，但不是開發，重要的事情說三遍；
資料庫：
需要學習SQL語法，利用常見的資料庫MySQL學習對應的資料庫語法，也是一樣，SQL的一些些高級語法可以了解，如果沒有時間完全不學也不影響後續學習，畢竟大家不是做資料庫分析師，不需要學太深；
（2）Web安全
（2.1）Web滲透
掌握OWASP排名靠前的10餘種常見的Web漏洞的原理、利用、防禦等知識點，然後配以一定的靶場練習即可；有的小白可能會問，去哪裡找資料，建議可以直接買一本較為權威的書籍，配合一些網上的免費視頻系統學習，然後利用開源的靶場輔助練習即可；
【推薦書籍】白帽子講Web安全（阿里白帽子黑客大神道哥作品）
【推薦靶場】常見的靶場都可以上github平台搜索，推薦以下靶場DVWA、bWAPP、upload-labs-master、SQL-lib-master、WebBug、pikachu等，有些是綜合靶場，有些是專門針對某款漏洞的靶場；
（2.2）工具學習
Web滲透階段還是需要掌握一些必要的工具，工具的學習b站上的視頻比較多，挑選一些講解得不錯的視頻看看，不要一個工具看很多視頻，大多數視頻是重復的，且很浪費時間；
主要要掌握的工具和平台：burp、AWVS、Appscan、Nessus、sqlmap、nmap、shodan、fofa、代理工具ssrs、hydra、mesa、airspoof等，以上工具的練習完全可以利用上面的開源靶場去練習，足夠了；
練習差不多了，可以去SRC平台滲透真實的站點，看看是否有突破，如果涉及到需要繞過WAF的，需要針對繞WAF專門去學習，姿勢也不是特別多，系統性學習學習，然後多總結經驗，更上一層樓；
（2.2）自動化滲透
自動化滲透需要掌握一門語言，且需要熟練運用，可以是任何一門自己已經掌握得很熟悉的語言，都可以，如果沒有一門掌握很好的，那我推薦學習python，最主要原因是學起來簡單，模塊也比較多，寫一些腳本和工具非常方便；
雖說不懂自動化滲透不影響入門和就業，但是會影響職業的發展，學習python不需要掌握很多不需要的模塊，也不需要開發成千上萬行的代碼，僅利用它編寫一些工具和腳本，少則10幾行代碼，多則1-200行代碼，一般代碼量相對開發人員已經少得不能再少了，例如一個精簡的域名爬蟲代碼核心代碼就1-20行而已；
幾天時間學習一下python的語法，有代碼基礎的，最快可能一天就可以學習完python的語法，因為語言都是相通的，但是學習語言最快的就是寫代碼，別無他法；接下來可以開始嘗試寫一些常見的工具，如爬蟲、埠探測、數據包核心內容提取、內網活躍主機掃描等，此類代碼網上一搜一大把；然後再寫一些POC和EXP腳本，以靶場為練習即可；有的小夥伴可能又要問了，什麼是POC和EXP，自己網路去，養成動手的好習慣啦；
（2.3）代碼審計
此處內容要求代碼能力比較高，因此如果代碼能力較弱，可以先跳過此部分的學習，不影響滲透道路上的學習和發展。
但是如果希望在Web滲透上需要走得再遠一些，需要精通一門後台開發語言，推薦php，因為後台採用php開發的網站占據最大，當然你還精通python、asp、java等語言，那恭喜你，你已經具備很好的基礎了；
代碼審計顧名思義，審計別人網站或者系統的源代碼，通過審計源代碼或者代碼環境的方式去審計系統是否存在漏洞（屬於白盒測試范疇）
那具體要怎麼學習呢？學習的具體內容按照順序列舉如下 ：
掌握php一些危險函數和安全配置；
熟悉代碼審計的流程和方法；
掌握1-2個代碼審計工具，如seay等；
掌握常見的功能審計法；（推薦審計一下AuditDemo，讓你產生自信）
常見CMS框架審計（難度大）； 代碼審計有一本國外的書籍《代碼審計：企業級Web代碼安全架構》，當然有空的時候可以去翻翻，建議還是在b站上找一套系統介紹的課程去學習；github上找到AuditDemo，下載源碼，搭建在本地虛擬機，然後利用工具和審計方法，審計AuditDemo中存在的10個漏洞，難度分布符合正態分布，可以挑戰一下；
至於CMS框架審計，可以去一些CMS官方網站，下載一些歷史存在漏洞的版本去審計，框架的學習利用官方網站的使用手冊即可，如ThinkPHP3.2版本是存在一些漏洞，可以嘗試讀懂代碼；但是切記不要一上來就看代碼，因為CMS框架的代碼量比較大，如果不系統先學習框架，基本屬於看不懂狀態；學習框架後能夠具備寫簡單的POC，按照代碼審計方法結合工具一起審計框架；其實也沒沒想像中的那麼難，如果你是開發人員轉行的，恭喜你，你已經具備代碼審計的先天性優勢。
可能有人會問：「我代碼很差，不學習代碼審計行不行？」其實代碼審計不是學習網路安全的必要條件，能夠掌握最好，掌握不了也不影響後續的學習和就業，但你需要選擇一個階段，練習得更專業精通一些，如web滲透或者內網滲透，再或者是自動化滲透；
（3）內網安全
恭喜你，如果學到這里，你基本可以從事一份網路安全相關的工作，比如滲透測試、Web滲透、安全服務、安全分析等崗位；
如果想就業面更寬一些，技術競爭更強一些，需要再學習內網滲透相關知識；
內網的知識難度稍微偏大一些，這個和目前市面上的學習資料還有靶場有一定的關系；內網主要學習的內容主要有：內網信息收集、域滲透、代理和轉發技術、應用和系統提權、工具學習、免殺技術、APT等等；
可以購買《內網安全攻防：滲透測試實戰指南》，這本書寫得還不錯，國內為數不多講內網的書籍，以書籍目錄為主線，然後配合工具和靶場去練習即可；
那去哪裡可以下載到內網靶場？如果你能力夠強，電腦配置高，可以自己利用虛擬機搭建內網環境，一般需要3台以上的虛擬機；你也可以到國外找一些內網靶場使用，有一些需要收費的靶場還可以；
（4）滲透拓展
滲透拓展部分，和具體工作崗位聯系也比較緊密，盡量要求掌握，主要有日誌分析、安全加固、應急響應、等保測評等內容；其中重點掌握前三部分，這塊的資料網路上也不多，也沒有多少成型的書籍資料，可通過行業相關的技術群或者行業分享的資料去學習即可，能學到這一步，基本上已經算入門成功，學習日誌分析、安全加固、應急響應三部分的知識也相對較為容易。
方法2：先學習Web滲透及工具，然後再學習編程
適用人群：代碼能力很弱，或者根本沒有什麼代碼能力，其他基礎也相對較差的小夥伴
基礎需要打好，再學習Web滲透比如linux系統、計算機網路、一點點的Web框架、資料庫還是需要提前掌握；
像php語言、自動化滲透和代碼審計部分內容，可以放在最後，當學習完畢前面知識後，也相當入門後，再來學習語言，相對會容易一些；
【優先推薦】方法2，對於小白來說，代碼基礎通常較弱，很多很多小白會倒在前期學習語言上，所以推薦方法2的學習，先學習web滲透和工具，也比較有意思，容易保持一個高漲的學習動力和熱情，具體學習內容我就不說了，請小夥伴們參照方法1即可。
方法3：選擇一些適合自己的課程學習
適用人群：需要體系化學習、增強實戰能力的小夥伴
具體根據自身條件來講，如果你自學能力較差，那建議選擇課程學習，網上各大平台等都有很多各式各樣的課程，是可以更快幫助你迅速入門的，然後再根據自己自身所欠缺的方面，不斷去完善和學習，最後達到你所要的優秀水平。
學習書籍推薦如下：
【基礎階段】
Linux Basics for Hackers(中文翻譯稿)
Wireshark網路分析(完整掃描版)
精通正則表達式（中文第3版）
圖解HTTP 彩色版
[密碼學介紹].楊新.中文第二版
網路是怎樣連接的_戶根勤
[PHP與MySQL程序設計(第4版)].W.Jason.Gilmore
【web滲透階段】
web安全攻防滲透測試實戰指南
白帽子講Web安全
Web安全深度
【自動化滲透階段】
Python編程快速上手-讓繁瑣工作自動化
【代碼審計階段】
代碼審計：企業級Web代碼安全架構
【內網滲透階段】
內網安全攻防：滲透測試實戰指南
社會工程防範釣魚欺詐
❾ 白帽子講Web安全的前言
在2010年年中的時候，博文視點的張春雨先生找到我，希望我可以寫一本關於雲計算安全的書。當時雲計算的概念正如日中天，但市面上關於雲計算安全應該怎麼做卻缺乏足夠的資料。我由於工作的關系接觸這方面比較多，但考慮到雲計算的未來尚未清晰，以及其他的種種原因，婉拒了張春雨先生的要求，轉而決定寫一本關於Web安全的書。 我對安全的興趣起源於中學時期。當時在盜版市場買到了一本沒有書號的黑客手冊，其中coolfire 的黑客教程令我印象深刻。此後在有限的能接觸到互聯網的機會里，我總會想方設法地尋找一些黑客教程，並以實踐其中記載的方法為樂。
在2000年的時候，我進入了西安交通大學學習。在大學期間，最大的收獲，是學校的計算機實驗室平時會對學生開放。當時上網的資費仍然較貴，父母給我的生活費里，除了留下必要的生活所需費用之外，幾乎全部投入在這里。也是在學校的計算機實驗室里，讓我迅速在這個領域中成長起來。
大學期間，在父母的資助下，我擁有了自己的第一台個人電腦，這加快了我成長的步伐。與此同時，我和一些互聯網上志同道合的朋友，一起建立了一個技術型的安全組織，名字來源於我當時最喜愛的一部動漫：「幻影旅團」。歷經十餘載，「幻影」由於種種原因未能得以延續，但它卻曾以論壇的形式培養出了當今安全行業中非常多的頂尖人才。這也是我在這短短二十餘載人生中的最大成就與自豪。
得益於互聯網的開放性，以及我親手締造的良好技術交流氛圍，我幾乎見證了全部互聯網安全技術的發展過程。在前5年，我投入了大量精力研究滲透測試技術、緩沖區溢出技術、網路攻擊技術等；而在後5年，出於工作需要，我把主要精力放在了對Web安全的研究上。 發生這種專業方向的轉變，是因為在2005年，我在一位摯友的推薦下，加入了阿里巴巴。加入的過程頗具傳奇色彩，在面試的過程中主管要求我展示自己的能力，於是我遠程關閉了阿里巴巴內網上游運營商的一台路由設備，導致阿里巴巴內部網路中斷。事後主管立即要求與運營商重新簽訂可用性協議。
大學時期的興趣愛好，居然可以變成一份正經的職業（當時很多大學都尚未開設網路安全的課程與專業），這使得我的父母很震驚，同時也更堅定了我自己以此作為事業的想法。
在阿里巴巴我很快就嶄露頭角，曾經在內網中通過網路嗅探捕獲到了開發總監的郵箱密碼；也曾經在壓力測試中一瞬間癱瘓了公司的網路；還有好幾次，成功獲取到了域控伺服器的許可權，從而可以以管理員的身份進入任何一位員工的電腦。
但這些工作成果，都遠遠比不上那厚厚的一摞網站安全評估報告讓我更有成就感，因為我知道，網站上的每一個漏洞，都在影響著成千上萬的用戶。能夠為百萬、千萬的互聯網用戶服務，讓我倍感自豪。當時，Web正在逐漸成為互聯網的核心，Web安全技術也正在興起，於是我義無返顧地投入到對Web安全的研究中。
我於2007年以23歲之齡成為了阿里巴巴集團最年輕的技術專家。雖未有官方統計，但可能也是全集團里最年輕的高級技術專家，我於2010年獲此殊榮。在阿里巴巴，我有幸見證了安全部門從無到有的建設過程。同時由於淘寶、支付寶草創，尚未建立自己的安全團隊，因此我有幸參與了淘寶、支付寶的安全建設，為他們奠定了安全開發框架、安全開發流程的基礎。 當時，我隱隱地感覺到了互聯網公司安全，與傳統的網路安全、信息安全技術的區別。就如同開發者會遇到的挑戰一樣，有很多問題，不放到一個海量用戶的環境下，是難以暴露出來的。由於量變引起質變，所以管理10台伺服器，和管理1萬台伺服器的方法肯定會有所區別；同樣的，評估10名工程師的代碼安全，和評估1000名工程師的代碼安全，方法肯定也要有所不同。
互聯網公司安全還有一些鮮明的特色，比如注重用戶體驗、注重性能、注重產品發布時間，因此傳統的安全方案在這樣的環境下可能完全行不通。這對安全工作提出了更高的要求和更大的挑戰。
這些問題，使我感覺到，互聯網公司安全可能會成為一門新的學科，或者說應該把安全技術變得更加工業化。可是我在書店中，卻發現安全類目的書，要麼是極為學術化的（一般人看不懂）教科書，要麼就是極為娛樂化的（比如一些「黑客工具說明書」類型的書）說明書。極少數能夠深入剖析安全技術原理的書，以我的經驗看來，在工業化的環境中也會存在各種各樣的問題。
這些問題，也就促使我萌發了一種寫一本自己的書，分享多年來工作心得的想法。它將是一本闡述安全技術在企業級應用中實踐的書，是一本大型互聯網公司的工程師能夠真正用得上的安全參考書。因此張春雨先生一提到邀請我寫書的想法時，我沒有做過多的思考，就答應了。
Web是互聯網的核心，是未來雲計算和移動互聯網的最佳載體，因此Web安全也是互聯網公司安全業務中最重要的組成部分。我近年來的研究重心也在於此，因此將選題范圍定在了Web安全。但其實本書的很多思路並不局限於Web安全，而是可以放寬到整個互聯網安全的方方面面之中。
掌握了以正確的思路去看待安全問題，在解決它們時，都將無往而不利。我在2007年的時候，意識到了掌握這種正確思維方式的重要性，因此我告知好友：安全工程師的核心競爭力不在於他能擁有多少個0day，掌握多少種安全技術，而是在於他對安全理解的深度，以及由此引申的看待安全問題的角度和高度。我是如此想的，也是如此做的。
因此在本書中，我認為最可貴的不是那一個個工業化的解決方案，而是在解決這些問題時，背後的思考過程。我們不是要做一個能夠解決問題的方案，而是要做一個能夠「漂亮地」解決問題的方案。這是每一名優秀的安全工程師所應有的追求。 然而在當今的互聯網行業中，對安全的重視程度普遍不高。有統計顯示，互聯網公司對安全的投入不足收入的百分之一。
在2011年歲末之際，中國互聯網突然捲入了一場有史以來最大的安全危機。12月21日，國內最大的開發者社區CSDN被黑客在互聯網上公布了600萬注冊用戶的數據。更糟糕的是，CSDN在資料庫中明文保存了用戶的密碼。接下來如同一場盛大的交響樂，黑客隨後陸續公布了網易、人人、天涯、貓撲、多玩等多家大型網站的資料庫，一時間風聲鶴唳，草木皆兵。
這些數據其實在黑客的地下世界中已經輾轉流傳了多年，牽扯到了一條巨大的黑色產業鏈。這次的偶然事件使之浮出水面，公之於眾，也讓用戶清醒地認識到中國互聯網的安全現狀有多麼糟糕。
以往類似的事件我都會在博客上說點什麼，但這次我保持了沉默。因為一來知道此種狀況已經多年，網站只是在為以前的不作為而買單；二來要解決「拖庫」的問題，其實是要解決整個互聯網公司的安全問題，遠非保證一個資料庫的安全這么簡單。這不是通過一段文字、一篇文章就能夠講清楚的。但我想最好的答案，可以在本書中找到。
經歷這場危機之後，希望整個中國互聯網，在安全問題的認識上，能夠有一個新的高度。那這場危機也就物有所值，或許還能藉此契機成就中國互聯網的一場安全啟蒙運動。
這是我的第一本書，也是我堅持自己一個人寫完的書，因此可以在書中盡情地闡述自己的安全世界觀，且對書中的任何錯漏之處以及不成熟的觀點都沒有可以推卸責任的借口。
由於工作繁忙，寫此書只能利用業余時間，交稿時間多次推遲，深感寫書的不易。但最終能成書，則有賴於各位親朋的支持，以及編輯的鼓勵，在此深表感謝。本書中很多地方未能寫得更為深入細致，實乃精力有限所致，尚請多多包涵。 在安全圈子裡，素有「白帽」、「黑帽」一說。
黑帽子是指那些造成破壞的黑客，而白帽子則是研究安全，但不造成破壞的黑客。白帽子均以建設更安全的互聯網為己任。
我於2008年開始在國內互聯網行業中倡導白帽子的理念，並聯合了一些主要互聯網公司的安全工程師，建立了白帽子社區，旨在交流工作中遇到的各種問題，以及經驗心得。
本書名為《白帽子講Web安全》，即是站在白帽子的視角，講述Web安全的方方面面。雖然也剖析攻擊原理，但更重要的是如何防範這些問題。同時也希望「白帽子」這一理念，能夠更加的廣為人知，為中國互聯網所接受。 全書分為4大篇共18章，讀者可以通過瀏覽目錄以進一步了解各篇章的內容。在有的章節末尾，還附上了筆者曾經寫過的一些博客文章，可以作為延伸閱讀以及本書正文的補充。
第一篇 我的安全世界觀是全書的綱領。在此篇中先回顧了安全的歷史，然後闡述了筆者對安全的看法與態度，並提出了一些思考問題的方式以及做事的方法。理解了本篇，就能明白全書中所涉及的解決方案在抉擇時的取捨。
第二篇 客戶端腳本安全就當前比較流行的客戶端腳本攻擊進行了深入闡述。當網站的安全做到一定程度後，黑客可能難以再找到類似注入攻擊、腳本執行等高風險的漏洞，從而可能將注意力轉移到客戶端腳本攻擊上。
客戶端腳本安全與瀏覽器的特性息息相關，因此對瀏覽器的深入理解將有助於做好客戶端腳本安全的解決方案。
如果讀者所要解決的問題比較嚴峻，比如網站的安全是從零開始，則建議跳過此篇，先閱讀下一篇「伺服器端應用安全」，解決優先順序更高的安全問題。
第三篇 伺服器端應用安全就常見的伺服器端應用安全問題進行了闡述。這些問題往往能引起非常嚴重的後果，在網站的安全建設之初需要優先解決這些問題，避免留下任何隱患。
第四篇 互聯網公司安全運營提出了一個大安全運營的思想。安全是一個持續的過程，最終仍然要由安全工程師來保證結果。
在本篇中，首先就互聯網業務安全問題進行了一些討論，這些問題對於互聯網公司來說有時候會比漏洞更為重要。
在接下來的兩章中，首先闡述了安全開發流程的實施過程，以及筆者積累的一些經驗。然後談到了公司安全團隊的職責，以及如何建立一個健康完善的安全體系。
本書也可以當做一本安全參考書，讀者在遇到問題時，可以挑選任何所需要的章節進行閱讀。 感謝我的妻子，她的支持是對我最大的鼓勵。本書最後的成書時日，是陪伴在她的病床邊完成的，我將銘記一生。
感謝我的父母，是他們養育了我，並一直在背後默默地支持我的事業，使我最終能有機會在這里寫下這些話。
感謝我的公司阿里巴巴集團，它營造了良好的技術與實踐氛圍，使我能夠有今天的積累。同時也感謝在工作中一直給予我幫助和鼓勵的同事、上司，他們包括但不限於：魏興國、湯城、劉志生、侯欣傑、林松英、聶萬全、謝雄欽、徐敏、劉坤、李澤洋、肖力、葉怡愷。
感謝季昕華先生為本書作序，他一直是所有安全工作者的楷模與學習的對象。
也感謝博文視點的張春雨先生以及他的團隊，是他們的努力使本書最終能與廣大讀者見面。他們的專業意見給了我很多的幫助。
最後特別感謝我的同事周拓，他對本書提出了很多有建設性的意見。
吳翰清
2012年1月於杭州
❿ 大一網路工程專業想學習網路安全如何 學習
第一，可以買一本《白帽子講web安全》來看著先，作者是吳翰清。先了解常見漏洞的原理，沒必要研究的太深，因為光看很難理解，後面結合實踐來理解事半功倍。
第二，多看一些安全公眾號的文章，和一些博客文章，然後可以試著去做一些ctf的題目，可以拓展你的知識面和幫助你理解，幾個較好的ctf平台有bugku、xctf，國外的有hackthebox，不過hackthebox難度較大，不建議一上來就去那裡。ctf的題目不應該局限於web題目，其他的都可以做一下，畢竟一些安全比賽題目類型很多。
第三，可以去挖一些公益漏洞，挖之前先看別人怎麼挖，挖漏洞是有技巧的，多看文章，可以去了解一下src。
第四，學好python，它是最契合網路安全的語言，可以用他來寫腳本進行攻擊非常nice。當然了如果可以的話，也要學好java，很多漏洞掃描器都是java寫的，逆向方向需要java代碼審計能力。也要學好網頁設計這門課程，都是基礎來的。
第五，web安全的最後都是內網滲透，拿下了一個網站，緊接著要拿下的就是他的主機，Linux基礎要學好，這個你前面的積累，也是放到最後的一個。