❶ 想成为白帽子需要学些什么最近在看《白帽子讲web安全》，可是发现自己看不懂，学校有在学web编程
1、学习基本的网络编程语言，比如html
2、学习脚本编程语言，比如python，js
2、学习网络协议，主要是应用层协议http等
3、学习了以上三点之后，继续学习掌握基本的web攻击手段和防护原理，可参考刺总的《白帽子讲web安全》
4、了解渗透流程，比如踩点、嗅探等
5、熟悉主流web渗透工具，建议可以安装kali操作系统，里面都有集成
希望对你有帮助。
❷ 湖南神童吴翰清：15岁考入西交大，被称为阿里守护神，现状如何
1985年，吴翰清出生在湖南长沙的一个高知家庭，父亲是名医生，母亲是名大学老师，吴翰清是家中的独生子。
身为知识分子，父母深知教育的重要性，所以，他们非常重视儿子的启蒙教育，三岁的时候，就开始教授吴翰清识字。
吴翰清也没辜负父母的期望， 年纪小小就展现出惊人的天赋，无论是超强的记忆力，还是异于同龄孩子的学习力。
一个字，父母念三遍，他就能写出来租简，一道数学题，他总会举一反三，很快解出来。父母自然注意到了吴翰清的天资聪颖，所以为他找来小学课本。
此后，在同龄孩子玩耍的年纪，吴翰清已经踏上学业的道路。
1997年，吴翰清考入湖南大学附属中学， 进入初中后，他勤奋好学，刻苦钻研，因此成绩优名列前茅。不过，相比其他的学霸，吴翰清的身上有一种“叛逆性”，那就是喜欢挑战，喜欢一切未知的东西。
2000年，15岁的吴翰清升入该校高中，也是在这年，他报考了西安交通大学的少年班，最终吴翰清通过层层选拔，在众多才子中，脱颖而出，最终，顺利被西安交通大学录取。 这年，湖南省只有2名考生进入西交大的少年班。此时，吴翰清有了 “神童” 的称号。
进入少年班，吴翰清选择了计算机专业。在他看来，这个专业既新颖又具挑战性，很值得学习。正好这年，计算机出现了“千年虫危机”。
怀着好奇和兴趣，吴翰清开始学习计算机，没想到，这一学，却是找到真正的兴趣，那就是黑客技术，为此，他日夜钻研。即使父母时常批评吴翰清，他也乐此不疲。
从小到大，吴翰清的自学能力都是极强的，无论是知识学习，还是实际历练，所以黑客技术的学习也是如此。
说到黑客技术，就不得不提它的分类。简单来说，黑客分为三类：一类是黑帽子，这类黑客的行为是恶意的，是有害的；一类是白帽子，他们是有益的；还有一类是灰帽子，这类黑客往往是有争议性的，他们用的是黑帽子的技能，但他们的目的和意图却是善意的。
在这三类中，吴翰清选择了第二类——白帽黑客。此后，他花费了一年的时间，熟练掌握这门技术，不仅如此， 他还创立了一个名叫“幻影旅团”的信息安全组织。这年，吴翰清只有16岁。
虽然，吴翰清年纪小，但他的技术却不弱，因此，他创建的“幻影旅团”集结了各地的计算机大神。当然，大家学习黑客技术目的是善意的，都想着守护中国互联网安全。
在目标的驱使下，大家热血沸腾。为了将“幻影旅团”办好，他们还凑钱租用网站服务器，他们也没想着回报，只想着用技术守护国家。
在大家的努力下，“幻影旅团”也是越办越好 。一度成为当时国内极具影响力的网络安全组织之一。可是，“幻影旅团”的路并没有走多久。
2003年，迎接“幻影旅团”的是接连不断的DDoS攻击 ，可此时的吴翰清等人却是束手无策，因为他们没有资金租用资源抵抗攻击。最终导致网站无法访问。
在攻击者的多次挑衅下，吴翰清只能亲手关闭了它。这个选择对他而言，是气愤的，也是无奈的。
十几年后，再提起这段岁月，吴翰清少了气愤，却多了几分遗憾。他说 ：“大家的技术都那么厉害，要是幻影旅团继续走下去，说不定会成为网络安全界的CSDN”。
虽然吴翰清的设想没成真，但幻影旅团的成员却都有了好归属。他们都用自己的身份、自己的方式，在守护网络的和平与安全。
2005年， 20岁的吴翰清顺利毕业。 此时，他看中了阿里巴巴的发展前景，所以，带着几分热忱，去了阿里。
吴翰清的面试简历自然是优秀的，不说他的少年班经历，就是他小小年纪，创建了“幻影旅团”，也是让人钦佩的。
再加上面试现场，吴翰清的出色表现，也让在销尘场的几位面试官竖起来了大拇指，他们由内而外地对这位年轻人多了几分尊重。最后，他们一致决定，吴翰清弊斗裤担任公司的高级安全专家。而这份工作邀约在面试现场就被发放了。
此后，实习了6个月，吴翰清就正式成为阿里的一员了，他的工作内容是负责建设和维护阿里的安全系统，防止厉害的黑客攻击公司网络。
也是在这年，阿里建立了“神盾局”，身为“网络特工队”，它每天服务数以万计的消费者。职责也是多样的：保护交易安全性;保护隐私信息;保护数据安全等等。
在其位谋其职，成为“神盾局”反黑客团队的一员，吴翰清尽职尽责，不放过网络上的任何一个漏洞。吴翰清见证了，阿里网络安全部门的新开始。
2008年，吴翰清成为安全技术团队的带头人。近几年，随着阿里的发展，他面临的挑战也是越来越大，为了从万亿条数据中，找到入侵行径，以及在极短的时间里完成后续处理工作，吴翰清和他的团队还打造了世界级的反入侵体系。
随着时间的流逝，吴瀚清的网络安全部门在阿里也有了举足轻重的地位。身为部门的带头人，吴翰清本人在网络安全领域的名声也很大。
此时，他有了各种各样的称呼，“阿里的守护神”、“道哥”、“刺”、“小黑”以及“让马云安睡的男人”.......
对于大家的夸赞，吴翰清总是一笑而过，他说 ：“阿里的网络安全，不仅是我一个人的功劳。而是大家共同努力的成果”。
2008年底，当时担任微软亚洲研究院常务副院长的王坚，受到马云的邀请，前往阿里做云计算。
王坚进入阿里后，看中了吴翰清。所以在王坚的盛情邀请下， 吴翰清参与“飞天系统”的安全设计。 能得到伯乐的赏识，吴翰清这匹“千里马”自然是欣喜的，他也以为自己迎来了新的发展机会，万万没想到这条路并不好走。
当时，阿里云的云计算迟迟没有新进展，公司内部也对王坚颇有微词，声称他就是个骗子，大家对阿里云充满了质疑，觉得阿里云只见投资，不见回报。
这样的压力也给到了王坚下面的其他员工，当时，一位员工这样说 “这个阶段的我，就像站在淤泥里，想要使劲，却发现头顶还有一辆车，实在是让人无力”。
有这样感受的，还包括吴瀚清。所以，此时的他，决定离开这里，寻找新的出路。
2012年，在阿里任职了七年的吴翰清不顾王坚的极力挽留，辞职了。 这年，他27岁。之后，吴翰清加入了一家创业公司，名为“安全宝”。他是公司的副总裁。
此时的他，为了将自己的安全技术分享给更多的人，写了一本名叫 《白帽子讲Web安全》 的书籍，令吴翰清惊喜的是，他的书籍一经发表，就迎来了无数看客。
与惊喜相伴而来的便是，创业的艰巨性。就这样苦苦坚持了两年，“安全宝”不但没有走上正轨，反而愈加败落。
恰巧这个时候，王坚开始邀请吴翰清再次加入阿里。此时，他心动了，结合阿里云的发展现状，他已经看到了广阔的前景。就这样，他将公司的业务分别卖给了网络和阿里。然后，带着公司的几个骨干，再次去了阿里。
2014年9月，吴清翰回归阿里，成为“ 云盾”的负责人。“ 盾”顾名思义，便是盾牌，起到网络防护作用，主要维护云平台，云网络环境等云上安全。
当时 “ 云盾”仅有20人，比例占不到阿里云总人数的十分之一，即使如此，吴清翰也信心满满，他坚信自己会带领团队越走越走。
事实情况，的确如他设想的那般，在此后大大小小的网络危机中，吴清翰和他的团队永远走在最前列。此后，他和他的团队帮助全国将近一半的网站，每天抵挡16亿次的恶意攻击，帮助用户修补数百万个漏洞。
2015 年 9 月，阿里云发生了自建立以来，最大的DDoS 攻击，被称为901 事件。身为“云盾”的负责人，30岁的吴翰清亲自带领团队抵御了这场风波，峰值达 453.8Gbps，攻击高达5亿次。
此后，吴翰清算是真正的一站成名。有人称他 是“中国最强大的黑客”， 还有人说： “阿里能走到现在，靠阿里云做技术支撑，阿里云能这么厉害，靠的是无数个吴翰清”。
这话一出，大家也是非常的赞同。他们都觉得，吴翰清为阿里的发展，贡献了极大的力量。
2017 年 8 月，32 岁的吴翰清以阿里云首席安全科学家的身份，入选“TR35”，也就是“全球未满35岁的 科技 创新35人”。 与他入选的还有阿里人工智能首席科学家王刚。之后，吴翰清的传说越发离奇，关于他的软文也是一篇又一篇。
随后，这条微博被阿里的风险委员会主席邵晓锋转发，他说，对于黑阿里网站的人，他们不但不会聘请，还会报警。
说到这件事，就要提一下，大家传播的面试版本： 面试途中，面试官问吴翰清：“你如何证明自己能够胜任这项工作？”吴翰清微微一笑，然后提出一个请求：“希望可以借用贵公司的一台电脑”。
接着电脑就拿过来了，然后，吴翰清在三分钟的时间里，运用自己的黑客技术，在远程操作的情况下，将阿里内网的一台路由设备关了，导致公司网络瘫痪。
所以，这个版本仅仅是为了吸引大家的眼球，按照吴翰清本人的说法，这并不是真实的。总之，本人亲自下场澄清谣言，大家也是相信居多。
2021年6月4日，身为“杰出校友”的吴翰清受到邀请，前往西安交通大学少年班，和20级少年班的学弟学妹们，进行互动交流。
在现场，吴翰清为大家讲述了自己的人生经历，并且从四个方面“宽容、坚持、感恩、敬畏”以己推人，他希望学弟学妹们，能够成为一个对别人宽容、做事坚持不懈、常怀感恩之心，敬畏理想以及未来的优秀人才。
并且，吴翰清还告诉大家，人生的价值和意义在于对国家和 社会 做贡献。一番交流，同学们掌声不断、异常激动。交流会的最后，同学们将自己亲手制作的版画《E=mc2》送给了吴翰清。
如今，吴翰清37岁了，他还是阿里集团的一员，不过他已经活跃在人工智能领域了。 对于吴翰清而言，这是一个新的领域，可是，他是一个喜欢挑战的人，所以，此时的他依然保持着刚入行的热情和活力。
虽然吴翰清已经不在网络安全领域了，但他曾经的网络守护却是值得阿里和人们铭记的，阿里之所以走到现在，拥有如此高的地位，是因为背后，有无数个“吴翰清”在默默守护。
❸ 白帽子讲Web安全的目录
《白帽子讲web安全》第一篇 世界观安全第1章 我的安全世界观 21.1 web安全简史 21.1.1 中国黑客简史 21.1.2 黑客技术的发展历程 31.1.3 web安全的兴起 51.2 黑帽子，白帽子 61.3 返璞归真，揭秘安全的本质 71.4 破除迷信，没有银弹 91.5 安全三要素 101.6 如何实施安全评估 111.6.1 资产等级划分 121.6.2 威胁分析 131.6.3 风险分析 141.6.4 设计安全方案 151.7 白帽子兵法 161.7.1 secure by default原则 161.7.2 纵深防御原则 181.7.3 数据与代码分离原则 19.1.7.4 不可预测性原则 211.8 小结 22（附）谁来为漏洞买单？ 23第二篇 客户端脚本安全第2章 浏览器安全 262.1 同源策略 262.2 浏览器沙箱 302.3 恶意网址拦截 332.4 高速发展的浏览器安全 362.5 小结 39第3章 跨站脚本攻击（xss） 403.1 xss简介 403.2 xss攻击进阶 433.2.1 初探xss payload 433.2.2 强大的xss payload 463.2.3 xss 攻击平台 623.2.4 终极武器：xss worm 643.2.5 调试javascript 733.2.6 xss构造技巧 763.2.7 变废为宝：mission impossible 823.2.8 容易被忽视的角落：flash xss 853.2.9 真的高枕无忧吗：javascript开发框架 873.3 xss的防御 893.3.1 四两拨千斤：httponly 893.3.2 输入检查 933.3.3 输出检查 953.3.4 正确地防御xss 993.3.5 处理富文本 1023.3.6 防御dom based xss 1033.3.7 换个角度看xss的风险 1073.4 小结 107第4章 跨站点请求伪造（csrf） 1094.1 csrf简介 1094.2 csrf进阶 1114.2.1 浏览器的cookie策略 1114.2.2 p3p头的副作用 1134.2.3 get? post? 1164.2.4 flash csrf 1184.2.5 csrf worm 1194.3 csrf的防御 1204.3.1 验证码 1204.3.2 referer check 1204.3.3 anti csrf token 1214.4 小结 124第5章 点击劫持（clickjacking） 1255.1 什么是点击劫持 1255.2 flash点击劫持 1275.3 图片覆盖攻击 1295.4 拖拽劫持与数据窃取 1315.5 clickjacking 3.0：触屏劫持 1345.6 防御clickjacking 1365.6.1 frame busting 1365.6.2 x-frame-options 1375.7 小结 138第6章 html 5 安全 1396.1 html 5新标签 1396.1.1 新标签的xss 1396.1.2 iframe的sandbox 1406.1.3 link types: noreferrer 1416.1.4 canvas的妙用 1416.2 其他安全问题 1446.2.1 cross-origin resource sharing 1446.2.2 postmessage——跨窗口传递消息 1466.2.3 web storage 1476.3 小结 150第三篇 服务器端应用安全第7章 注入攻击 1527.1 sql注入 1527.1.1 盲注（blind injection） 1537.1.2 timing attack 1557.2 数据库攻击技巧 1577.2.1 常见的攻击技巧 1577.2.2 命令执行 1587.2.3 攻击存储过程 1647.2.4 编码问题 1657.2.5 sql column truncation 1677.3 正确地防御sql注入 1707.3.1 使用预编译语句 1717.3.2 使用存储过程 1727.3.3 检查数据类型 1727.3.4 使用安全函数 1727.4 其他注入攻击 1737.4.1 xml注入 1737.4.2 代码注入 1747.4.3 crlf注入 1767.5 小结 179第8章 文件上传漏洞 1808.1 文件上传漏洞概述 1808.1.1 从fckeditor文件上传漏洞谈起 1818.1.2 绕过文件上传检查功能 1828.2 功能还是漏洞 1838.2.1 apache文件解析问题 1848.2.2 iis文件解析问题 1858.2.3 php cgi路径解析问题 1878.2.4 利用上传文件钓鱼 1898.3 设计安全的文件上传功能 1908.4 小结 191第9章 认证与会话管理 1929.1 who am i? 1929.2 密码的那些事儿 1939.3 多因素认证 1959.4 session与认证 1969.5 session fixation攻击 1989.6 session保持攻击 1999.7 单点登录（sso） 2019.8 小结 203第10章 访问控制 20510.1 what can i do? 20510.2 垂直权限管理 20810.3 水平权限管理 21110.4 oauth简介 21310.5 小结 219第11章 加密算法与随机数 22011.1 概述 22011.2 stream cipher attack 22211.2.1 reused key attack 22211.2.2 bit-flipping attack 22811.2.3 弱随机iv问题 23011.3 wep破解 23211.4 ecb模式的缺陷 23611.5 padding oracle attack 23911.6 密钥管理 25111.7 伪随机数问题 25311.7.1 弱伪随机数的麻烦 25311.7.2 时间真的随机吗 25611.7.3 破解伪随机数算法的种子 25711.7.4 使用安全的随机数 26511.8 小结 265（附）understanding md5 length extension attack 267第12章 web框架安全 28012.1 mvc框架安全 28012.2 模板引擎与xss防御 28212.3 web框架与csrf防御 28512.4 http headers管理 28712.5 数据持久层与sql注入 28812.6 还能想到什么 28912.7 web框架自身安全 28912.7.1 struts 2命令执行漏洞 29012.7.2 struts 2的问题补丁 29112.7.3 spring mvc命令执行漏洞 29212.7.4 django命令执行漏洞 29312.8 小结 294第13章 应用层拒绝服务攻击 29513.1 ddos简介 29513.2 应用层ddos 29713.2.1 cc攻击 29713.2.2 限制请求频率 29813.2.3 道高一尺，魔高一丈 30013.3 验证码的那些事儿 30113.4 防御应用层ddos 30413.5 资源耗尽攻击 30613.5.1 slowloris攻击 30613.5.2 http post dos 30913.5.3 server limit dos 31013.6 一个正则引发的血案：redos 31113.7 小结 315第14章 php安全 31714.1 文件包含漏洞 31714.1.1 本地文件包含 31914.1.2 远程文件包含 32314.1.3 本地文件包含的利用技巧 32314.2 变量覆盖漏洞 33114.2.1 全局变量覆盖 33114.2.2 extract()变量覆盖 33414.2.3 遍历初始化变量 33414.2.4 import_request_variables变量覆盖 33514.2.5 parse_str()变量覆盖 33514.3 代码执行漏洞 33614.3.1 “危险函数”执行代码 33614.3.2 “文件写入”执行代码 34314.3.3 其他执行代码方式 34414.4 定制安全的php环境 34814.5 小结 352第15章 web server配置安全 35315.1 apache安全 35315.2 nginx安全 35415.3 jboss远程命令执行 35615.4 tomcat远程命令执行 36015.5 http parameter pollution 36315.6 小结 364第四篇 互联网公司安全运营第16章 互联网业务安全 36616.1 产品需要什么样的安全 36616.1.1 互联网产品对安全的需求 36716.1.2 什么是好的安全方案 36816.2 业务逻辑安全 37016.2.1 永远改不掉的密码 37016.2.2 谁是大赢家 37116.2.3 瞒天过海 37216.2.4 关于密码取回流程 37316.3 账户是如何被盗的 37416.3.1 账户被盗的途径 37416.3.2 分析账户被盗的原因 37616.4 互联网的垃圾 37716.4.1 垃圾的危害 37716.4.2 垃圾处理 37916.5 关于网络钓鱼 38016.5.1 钓鱼网站简介 38116.5.2 邮件钓鱼 38316.5.3 钓鱼网站的防控 38516.5.4 网购流程钓鱼 38816.6 用户隐私保护 39316.6.1 互联网的用户隐私挑战 39316.6.2 如何保护用户隐私 39416.6.3 do-not-track 39616.7 小结 397（附）麻烦的终结者 398第17章 安全开发流程（sdl） 40217.1 sdl简介 40217.2 敏捷sdl 40617.3 sdl实战经验 40717.4 需求分析与设计阶段 40917.5 开发阶段 41517.5.1 提供安全的函数 41517.5.2 代码安全审计工具 41717.6 测试阶段 41817.7 小结 420第18章 安全运营 42218.1 把安全运营起来 42218.2 漏洞修补流程 42318.3 安全监控 42418.4 入侵检测 42518.5 紧急响应流程 42818.6 小结 430（附）谈谈互联网企业安全的发展方向 431· · · · · ·
❹ 白帽子讲Web安全的序言
2012年农历春节，我回到了浙西的老家，外面白雪皑皑。在这与网络隔离的小乡村里，在这可以夜不闭户的小乡村里，过着与网络无关、与安全无关的生活，而我终于可以有时间安安静静拜读吴翰清先生的这本大作了。
认识吴翰清先生源于网络、源于安全，并从网络走向生活，成为朋友。他对于安全技术孜孜不倦的研究，使得他年纪轻轻便成为系统、网络、Web等多方面安全的专家；他对于安全技术的分享，创建了“幻影旅团”组织，培养了一批安全方面的技术人才，并带动了整个行业的交流氛围；他和同事在大型互联网公司对安全方面的不断实践，全面保护着阿里巴巴集团的安全；他对于安全的反思和总结并发布在他的博客上，使得我们能够更为深入地理解安全的意义，处理安全问题的方法论。而今天，很幸运，我们能系统的地看到吴翰清先生多年在大型互联网公司工作实践、总结反思所积累的安全观和Web安全技术。
中国人自己编写的安全专着不多，而在这为数不多的书中，绝大部分也都是“黑客攻击”速成手册。这些书除了在技术上仅立足于零碎的技术点、工具使用手册、攻击过程演示，不系统之外，更为关键的是，它们不是以建设者的角度去解决安全问题。吴翰清先生是我非常佩服的“白帽子”，他和一群志同道合的朋友，一直以建设更安全的互联网为己任，系统地研究安全，积极分享知识，为中国的互联网安全添砖加瓦。而这本书也正是站在白帽子的视角，讲述Web安全的方方面面，它剖析攻击原理，目的是让互联网开发者、技术人员了解原理，并通过自身的实践，告诉大家分析这些问题的方法论、思想以及对应的防范方案。
最让我共鸣的是“安全运营”的思路，我相信这也是吴翰清先生这么多年在互联网公司工作的最大收获之一，因为运营是互联网公司的最大特色和法宝。安全是一个动态的过程，因为敌方攻击手段在变，攻击方法在变，漏洞不断出现；我方业务在变，软件在变，人员在变，妄图通过一个系统、一个方案解决所有的问题是不现实的，也是不可能的，安全需要不断地运营、持续地优化。
瑞雪兆丰年，一直在下的雪预示着今年的丰收。我想在经历了2011年中国互联网最大安全危机之后，如白雪一样纯洁的《白帽子讲Web安全》应该会给广大的从事互联网技术人员带来更多的帮助，保障中国互联网的安全，迎来互联网的又一个春天。
季昕华 Benjurry
❺ 白帽子讲wed安全的书有效果吗
在互联网时代，数据安全与个人隐私受到了前所未有的挑战，各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据？本书将带你走进web安全的世界，让你了解web安全的方方面面。黑客不再变得神秘，攻击技术原来我也可以会，小网站主自己也能找到正确的安全道路。大公司是怎么做安全的，为什么要选择这样的方案呢？你能在本书中找到答案。详细的剖析，让你不仅能“知其然”，更能“知其所以然”。
《白帽子讲web安全》是根据作者若干年实际工作中积累下来的丰富经验而写成的，在解决方案上具有极强的可操作性，深入分析了各种错误的解决方案与误区，对安全工作者有很好的参考价值。安全开发流程与运营的介绍，对同行业的工作具有指导意义。
编辑推荐
“安全是互联网公司的生命，也是每一位网民的最基本需求。
一位天天听到炮声的白帽子和你分享如何呵护生命，满足最基本需求。这是一本能闻到硝烟味道的书。”
——阿里巴巴集团首席架构师 阿里云总裁 王坚
白帽子讲web安全 作译者:
吴翰清，毕业于西安交通大学少年班，从2000年开始研究网络攻防技术。在大学期间创立
了在中国安全圈内极具影响力的组织“幻影”。
2005年加入********，负责网络安全。工作期间，对********的安全开发流程、应用安全建设做出了杰出的贡献，并多次获得公司的表彰。曾先后帮助淘宝、支付宝建立了应用安全体系，保障公司业务得以快速而安全地发展。
2009年起，加入********支计算有限公司，负责云计算安全、反网络欺诈等工作，是********集团最具价值的安全专家。长期专注于安全技术的创新与实践，多有建树。同时还是owasp在中国的区域负责人之一，在互联网安全领域有着极其丰富的经验。平时乐于分享，个人博客的访问量迄今超过200万。多年来活跃在安全社区中，有着巨大的影响力。多次受邀在国内、国际安全会议上演讲，是中国安全行业的领军人物之一。
白帽子讲web安全 目录：
第一篇 世界观安全
第1章 我的安全世界观 2
1.1 web安全简史 2
1.1.1 中国黑客简史 2
1.1.2 黑客技术的发展历程 3
1.1.3 web安全的兴起 5
1.2 黑帽子，白帽子 6
1.3 返璞归真，揭秘安全的本质 7
1.4 破除迷信，没有银弹 9
1.5 安全三要素 10
1.6 如何实施安全评估 11
1.6.1 资产等级划分 12
1.6.2 威胁分析 13
1.6.3 风险分析 14
1.6.4 设计安全方案 15
1.7 白帽子兵法 16
1.7.1 secure by default原则 16
1.7.2 纵深防御原则 18
1.7.3 数据与代码分离原则 19
.1.7.4 不可预测性原则 21
1.8 小结 22
（附）谁来为漏洞买单？ 23
第二篇 客户端脚本安全
第2章 浏览器安全 26
2.1 同源策略 26
2.2 浏览器沙箱 30
2.3 恶意网址拦截 33
2.4 高速发展的浏览器安全 36
2.5 小结 39
第3章 跨站脚本攻击（xss） 40
3.1 xss简介 40
3.2 xss攻击进阶 43
3.2.1 初探xss payload 43
3.2.2 强大的xss payload 46
3.2.3 xss 攻击平台 62
3.2.4 终极武器：xss worm 64
3.2.5 调试javascript 73
3.2.6 xss构造技巧 76
3.2.7 变废为宝：mission impossible 82
3.2.8 容易被忽视的角落：flash xss 85
3.2.9 真的高枕无忧吗：javascript开发框架 87
3.3 xss的防御 89
3.3.1 四两拨千斤：httponly 89
3.3.2 输入检查 93
3.3.3 输出检查 95
3.3.4 正确地防御xss 99
3.3.5 处理富文本 102
3.3.6 防御dom based xss 103
3.3.7 换个角度看xss的风险 107
3.4 小结 107
第4章 跨站点请求伪造（csrf） 109
4.1 csrf简介 109
4.2 csrf进阶 111
4.2.1 浏览器的cookie策略 111
4.2.2 p3p头的副作用 113
4.2.3 get? post? 116
4.2.4 flash csrf 118
4.2.5 csrf worm 119
4.3 csrf的防御 120
4.3.1 验证码 120
4.3.2 referer check 120
4.3.3 anti csrf token 121
4.4 小结 124
第5章 点击劫持（clickjacking） 125
5.1 什么是点击劫持 125
5.2 flash点击劫持 127
5.3 图片覆盖攻击 129
5.4 拖拽劫持与数据窃取 131
5.5 clickjacking 3.0：触屏劫持 134
5.6 防御clickjacking 136
5.6.1 frame busting 136
5.6.2 x-frame-options 137
5.7 小结 138
第6章 html 5 安全 139
6.1 html 5新标签 139
6.1.1 新标签的xss 139
6.1.2 iframe的sandbox 140
6.1.3 link types: noreferrer 141
6.1.4 canvas的妙用 141
6.2 其他安全问题 144
6.2.1 cross-origin resource sharing 144
6.2.2 postmessage——跨窗口传递消息 146
6.2.3 web storage 147
6.3 小结 150
第三篇 服务器端应用安全
第7章 注入攻击 152
7.1 sql注入 152
7.1.1 盲注（blind injection） 153
7.1.2 timing attack 155
7.2 数据库攻击技巧 157
7.2.1 常见的攻击技巧 157
7.2.2 命令执行 158
7.2.3 攻击存储过程 164
7.2.4 编码问题 165
7.2.5 sql column truncation 167
7.3 正确地防御sql注入 170
7.3.1 使用预编译语句 171
7.3.2 使用存储过程 172
7.3.3 检查数据类型 172
7.3.4 使用安全函数 172
7.4 其他注入攻击 173
7.4.1 xml注入 173
7.4.2 代码注入 174
7.4.3 crlf注入 176
7.5 小结 179
第8章 文件上传漏洞 180
8.1 文件上传漏洞概述 180
8.1.1 从fckeditor文件上传漏洞谈起 181
8.1.2 绕过文件上传检查功能 182
8.2 功能还是漏洞 183
8.2.1 apache文件解析问题 184
8.2.2 iis文件解析问题 185
8.2.3 php cgi路径解析问题 187
8.2.4 利用上传文件钓鱼 189
8.3 设计安全的文件上传功能 190
8.4 小结 191
第9章 认证与会话管理 192
9.1 who am i? 192
9.2 密码的那些事儿 193
9.3 多因素认证 195
9.4 session与认证 196
9.5 session fixation攻击 198
9.6 session保持攻击 199
9.7 单点登录（sso） 201
9.8 小结 203
第10章 访问控制 205
10.1 what can i do? 205
10.2 垂直权限管理 208
10.3 水平权限管理 211
10.4 oauth简介 213
10.5 小结 219
第11章 加密算法与随机数 220
11.1 概述 220
11.2 stream cipher attack 222
11.2.1 reused key attack 222
11.2.2 bit-flipping attack 228
11.2.3 弱随机iv问题 230
11.3 wep破解 232
11.4 ecb模式的缺陷 236
11.5 padding oracle attack 239
11.6 密钥管理 251
11.7 伪随机数问题 253
11.7.1 弱伪随机数的麻烦 253
11.7.2 时间真的随机吗 256
11.7.3 破解伪随机数算法的种子 257
11.7.4 使用安全的随机数 265
11.8 小结 265
（附）understanding md5 length extension attack 267
第12章 web框架安全 280
12.1 mvc框架安全 280
12.2 模板引擎与xss防御 282
12.3 web框架与csrf防御 285
12.4 http headers管理 287
12.5 数据持久层与sql注入 288
12.6 还能想到什么 289
12.7 web框架自身安全 289
12.7.1 struts 2命令执行漏洞 290
12.7.2 struts 2的问题补丁 291
12.7.3 spring mvc命令执行漏洞 292
12.7.4 django命令执行漏洞 293
12.8 小结 294
第13章 应用层拒绝服务攻击 295
13.1 ddos简介 295
13.2 应用层ddos 297
13.2.1 cc攻击 297
13.2.2 限制请求频率 298
13.2.3 道高一尺，魔高一丈 300
13.3 验证码的那些事儿 301
13.4 防御应用层ddos 304
13.5 资源耗尽攻击 306
13.5.1 slowloris攻击 306
13.5.2 http post dos 309
13.5.3 server limit dos 310
13.6 一个正则引发的血案：redos 311
13.7 小结 315
第14章 php安全 317
14.1 文件包含漏洞 317
14.1.1 本地文件包含 319
14.1.2 远程文件包含 323
14.1.3 本地文件包含的利用技巧 323
14.2 变量覆盖漏洞 331
14.2.1 全局变量覆盖 331
14.2.2 extract()变量覆盖 334
14.2.3 遍历初始化变量 334
14.2.4 import_request_variables变量覆盖 335
14.2.5 parse_str()变量覆盖 335
14.3 代码执行漏洞 336
14.3.1 “危险函数”执行代码 336
14.3.2 “文件写入”执行代码 343
14.3.3 其他执行代码方式 344
14.4 定制安全的php环境 348
14.5 小结 352
第15章 web server配置安全 353
15.1 apache安全 353
15.2 nginx安全 354
15.3 jboss远程命令执行 356
15.4 tomcat远程命令执行 360
15.5 http parameter pollution 363
15.6 小结 364
第四篇 互联网公司安全运营
第16章 互联网业务安全 366
16.1 产品需要什么样的安全 366
16.1.1 互联网产品对安全的需求 367
16.1.2 什么是好的安全方案 368
16.2 业务逻辑安全 370
16.2.1 永远改不掉的密码 370
16.2.2 谁是大赢家 371
16.2.3 瞒天过海 372
16.2.4 关于密码取回流程 373
16.3 账户是如何被盗的 374
16.3.1 账户被盗的途径 374
16.3.2 分析账户被盗的原因 376
16.4 互联网的垃圾 377
16.4.1 垃圾的危害 377
16.4.2 垃圾处理 379
16.5 关于网络钓鱼 380
16.5.1 钓鱼网站简介 381
16.5.2 邮件钓鱼 383
16.5.3 钓鱼网站的防控 385
16.5.4 网购流程钓鱼 388
16.6 用户隐私保护 393
16.6.1 互联网的用户隐私挑战 393
16.6.2 如何保护用户隐私 394
16.6.3 do-not-track 396
16.7 小结 397
（附）麻烦的终结者 398
第17章 安全开发流程（sdl） 402
17.1 sdl简介 402
17.2 敏捷sdl 406
17.3 sdl实战经验 407
17.4 需求分析与设计阶段 409
17.5 开发阶段 415
17.5.1 提供安全的函数 415
17.5.2 代码安全审计工具 417
17.6 测试阶段 418
17.7 小结 420
第18章 安全运营 422
18.1 把安全运营起来 422
18.2 漏洞修补流程 423
18.3 安全监控 424
18.4 入侵检测 425
18.5 紧急响应流程 428
18.6 小结 430
（附）谈谈互联网企业安全的发展方向 431
❻ 《白帽子讲Web安全》pdf下载在线阅读，求百度网盘云资源
《白帽子讲Web安全》（吴翰清）电子书网盘下载免费在线阅读
资源链接：
链接：https://pan..com/s/1H6cnKOPSE6oeI5CjPceG0g 提取码：6q7e
书名：白帽子讲Web安全
作者：吴翰清
豆瓣评分：8.2
出版社：电子工业出版社
出版年份：2012-3
页数：432
内容简介：
《白帽子讲Web安全》内容简介：在互联网时代，数据安全与个人隐私受到了前所未有的挑战，各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据？《白帽子讲Web安全》将带你走进Web安全的世界，让你了解Web安全的方方面面。黑客不再变得神秘，攻击技术原来我也可以会，小网站主自己也能找到正确的安全道路。大公司是怎么做安全的，为什么要选择这样的方案呢？你能在《白帽子讲Web安全》中找到答案。详细的剖析，让你不仅能“知其然”，更能“知其所以然”。
作者简介：
吴翰清，毕业于西安交通大学少年班，从2000年开始研究网络攻防技术。在大学期间创立了在中国安全圈内极具影响力的组织“幻影”。
❼ 白帽子讲Web安全的作者简介
简介：吴翰清，人称道哥，中国年轻一代顶级黑客，阿里云首席安全科学家。
吴翰清于 2005 年加入阿里，参与创建了阿里巴巴、淘宝、支付宝、阿里云的应用安全体系。23 岁成为阿里巴巴最年轻的高级技术专家，是阿里安全从无到有、从有到强的亲历者。 安全宝副总裁，前阿里巴巴集团高级安全专家、资深总监。
毕业于西安交通大学少年班，从2000年开始研究网络攻防技术。在大学期间创立了在中国安全圈内极具影响力的组织“幻影”。2005年加入阿里巴巴，负责网络安全。工作期间，对阿里巴巴的安全开发流程、应用安全建设做出了杰出的贡献，并多次获得公司的表彰。
曾先后帮助淘宝、支付宝建立了应用安全体系，保障公司业务得以快速而安全地发展。2009年起，加入阿里巴巴云计算有限公司，负责云计算安全、反网络欺诈等工作，是阿里巴巴集团最具价值的安全专家。
(7)白帽讲web安全扩展阅读
《白帽子讲Web安全》
内容简介：在互联网时代，数据安全与个人隐私受到了前所未有的挑战，各种新奇的攻击技术层出不穷。如何才能更好地保护我们的数据？本书将带你走进Web安全的世界，让你了解Web安全的方方面面。黑客不再变得神秘，攻击技术原来我也可以会，小网站主自己也能找到正确的安全道路。大公司是怎么做安全的，为什么要选择这样的方案呢？你能在本书中找到答案。详细的剖析，让你不仅能“知其然”，更能“知其所以然”。
❽ 网络安全去应该去哪里学习呢。
只要想学习哪里学习都是有效果的。但需要结合自身的一些特点来调整学习方向，这样学习起来会事半功倍，以下推荐3种学习线路，适用于不同的学习人群；
方法1：先学习编程，然后学习Web渗透及工具使用等
适用人群：有一定的代码基础的小伙伴
（1）基础部分
基础部分需要学习以下内容：
（1.1）计算机网络 ：
重点学习OSI、TCP/IP模型，网络协议，网络设备工作原理等内容，其他内容快速通读；
【推荐书籍】《网络是怎样连接的_户根勤》一书，简明扼要，浅显易懂，初学者的福音；如果觉得不够专业，可以学习图灵设计丛书的《HTTP权威指南》；
（1.2）Linux系统及命令 ：
由于目前市面上的Web服务器7成都是运行在Linux系统之上，如果要学习渗透Web系统，最起码还是要对linux系统非常熟悉，常见的操作命令需要学会；
学习建议：学习常见的10%左右的命令适用于90%的工作场景，和office软件一样，掌握最常用的10%的功能，基本日常使用没什么问题，遇到不会的，再去找相关资料；常见的linux命令也就50-60个，很多小白囫囵吞枣什么命令都学，这样其实根本记不住。
【推荐书籍】Linux Basics for Hackers；
（1.3）Web框架 ：
熟悉web框架的内容，前端HTML，JS等脚本语言了解即可，后端PHP语言重点学习，切记不要按照开发的思路去学习语言，php最低要求会读懂代码即可，当然会写最好，但不是开发，但不是开发，但不是开发，重要的事情说三遍；
数据库：
需要学习SQL语法，利用常见的数据库MySQL学习对应的数据库语法，也是一样，SQL的一些些高级语法可以了解，如果没有时间完全不学也不影响后续学习，毕竟大家不是做数据库分析师，不需要学太深；
（2）Web安全
（2.1）Web渗透
掌握OWASP排名靠前的10余种常见的Web漏洞的原理、利用、防御等知识点，然后配以一定的靶场练习即可；有的小白可能会问，去哪里找资料，建议可以直接买一本较为权威的书籍，配合一些网上的免费视频系统学习，然后利用开源的靶场辅助练习即可；
【推荐书籍】白帽子讲Web安全（阿里白帽子黑客大神道哥作品）
【推荐靶场】常见的靶场都可以上github平台搜索，推荐以下靶场DVWA、bWAPP、upload-labs-master、SQL-lib-master、WebBug、pikachu等，有些是综合靶场，有些是专门针对某款漏洞的靶场；
（2.2）工具学习
Web渗透阶段还是需要掌握一些必要的工具，工具的学习b站上的视频比较多，挑选一些讲解得不错的视频看看，不要一个工具看很多视频，大多数视频是重复的，且很浪费时间；
主要要掌握的工具和平台：burp、AWVS、Appscan、Nessus、sqlmap、nmap、shodan、fofa、代理工具ssrs、hydra、mesa、airspoof等，以上工具的练习完全可以利用上面的开源靶场去练习，足够了；
练习差不多了，可以去SRC平台渗透真实的站点，看看是否有突破，如果涉及到需要绕过WAF的，需要针对绕WAF专门去学习，姿势也不是特别多，系统性学习学习，然后多总结经验，更上一层楼；
（2.2）自动化渗透
自动化渗透需要掌握一门语言，且需要熟练运用，可以是任何一门自己已经掌握得很熟悉的语言，都可以，如果没有一门掌握很好的，那我推荐学习python，最主要原因是学起来简单，模块也比较多，写一些脚本和工具非常方便；
虽说不懂自动化渗透不影响入门和就业，但是会影响职业的发展，学习python不需要掌握很多不需要的模块，也不需要开发成千上万行的代码，仅利用它编写一些工具和脚本，少则10几行代码，多则1-200行代码，一般代码量相对开发人员已经少得不能再少了，例如一个精简的域名爬虫代码核心代码就1-20行而已；
几天时间学习一下python的语法，有代码基础的，最快可能一天就可以学习完python的语法，因为语言都是相通的，但是学习语言最快的就是写代码，别无他法；接下来可以开始尝试写一些常见的工具，如爬虫、端口探测、数据包核心内容提取、内网活跃主机扫描等，此类代码网上一搜一大把；然后再写一些POC和EXP脚本，以靶场为练习即可；有的小伙伴可能又要问了，什么是POC和EXP，自己网络去，养成动手的好习惯啦；
（2.3）代码审计
此处内容要求代码能力比较高，因此如果代码能力较弱，可以先跳过此部分的学习，不影响渗透道路上的学习和发展。
但是如果希望在Web渗透上需要走得再远一些，需要精通一门后台开发语言，推荐php，因为后台采用php开发的网站占据最大，当然你还精通python、asp、java等语言，那恭喜你，你已经具备很好的基础了；
代码审计顾名思义，审计别人网站或者系统的源代码，通过审计源代码或者代码环境的方式去审计系统是否存在漏洞（属于白盒测试范畴）
那具体要怎么学习呢？学习的具体内容按照顺序列举如下 ：
掌握php一些危险函数和安全配置；
熟悉代码审计的流程和方法；
掌握1-2个代码审计工具，如seay等；
掌握常见的功能审计法；（推荐审计一下AuditDemo，让你产生自信）
常见CMS框架审计（难度大）； 代码审计有一本国外的书籍《代码审计：企业级Web代码安全架构》，当然有空的时候可以去翻翻，建议还是在b站上找一套系统介绍的课程去学习；github上找到AuditDemo，下载源码，搭建在本地虚拟机，然后利用工具和审计方法，审计AuditDemo中存在的10个漏洞，难度分布符合正态分布，可以挑战一下；
至于CMS框架审计，可以去一些CMS官方网站，下载一些历史存在漏洞的版本去审计，框架的学习利用官方网站的使用手册即可，如ThinkPHP3.2版本是存在一些漏洞，可以尝试读懂代码；但是切记不要一上来就看代码，因为CMS框架的代码量比较大，如果不系统先学习框架，基本属于看不懂状态；学习框架后能够具备写简单的POC，按照代码审计方法结合工具一起审计框架；其实也没没想象中的那么难，如果你是开发人员转行的，恭喜你，你已经具备代码审计的先天性优势。
可能有人会问：“我代码很差，不学习代码审计行不行？”其实代码审计不是学习网络安全的必要条件，能够掌握最好，掌握不了也不影响后续的学习和就业，但你需要选择一个阶段，练习得更专业精通一些，如web渗透或者内网渗透，再或者是自动化渗透；
（3）内网安全
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；
如果想就业面更宽一些，技术竞争更强一些，需要再学习内网渗透相关知识；
内网的知识难度稍微偏大一些，这个和目前市面上的学习资料还有靶场有一定的关系；内网主要学习的内容主要有：内网信息收集、域渗透、代理和转发技术、应用和系统提权、工具学习、免杀技术、APT等等；
可以购买《内网安全攻防：渗透测试实战指南》，这本书写得还不错，国内为数不多讲内网的书籍，以书籍目录为主线，然后配合工具和靶场去练习即可；
那去哪里可以下载到内网靶场？如果你能力够强，电脑配置高，可以自己利用虚拟机搭建内网环境，一般需要3台以上的虚拟机；你也可以到国外找一些内网靶场使用，有一些需要收费的靶场还可以；
（4）渗透拓展
渗透拓展部分，和具体工作岗位联系也比较紧密，尽量要求掌握，主要有日志分析、安全加固、应急响应、等保测评等内容；其中重点掌握前三部分，这块的资料网络上也不多，也没有多少成型的书籍资料，可通过行业相关的技术群或者行业分享的资料去学习即可，能学到这一步，基本上已经算入门成功，学习日志分析、安全加固、应急响应三部分的知识也相对较为容易。
方法2：先学习Web渗透及工具，然后再学习编程
适用人群：代码能力很弱，或者根本没有什么代码能力，其他基础也相对较差的小伙伴
基础需要打好，再学习Web渗透比如linux系统、计算机网络、一点点的Web框架、数据库还是需要提前掌握；
像php语言、自动化渗透和代码审计部分内容，可以放在最后，当学习完毕前面知识后，也相当入门后，再来学习语言，相对会容易一些；
【优先推荐】方法2，对于小白来说，代码基础通常较弱，很多很多小白会倒在前期学习语言上，所以推荐方法2的学习，先学习web渗透和工具，也比较有意思，容易保持一个高涨的学习动力和热情，具体学习内容我就不说了，请小伙伴们参照方法1即可。
方法3：选择一些适合自己的课程学习
适用人群：需要体系化学习、增强实战能力的小伙伴
具体根据自身条件来讲，如果你自学能力较差，那建议选择课程学习，网上各大平台等都有很多各式各样的课程，是可以更快帮助你迅速入门的，然后再根据自己自身所欠缺的方面，不断去完善和学习，最后达到你所要的优秀水平。
学习书籍推荐如下：
【基础阶段】
Linux Basics for Hackers(中文翻译稿)
Wireshark网络分析(完整扫描版)
精通正则表达式（中文第3版）
图解HTTP 彩色版
[密码学介绍].杨新.中文第二版
网络是怎样连接的_户根勤
[PHP与MySQL程序设计(第4版)].W.Jason.Gilmore
【web渗透阶段】
web安全攻防渗透测试实战指南
白帽子讲Web安全
Web安全深度
【自动化渗透阶段】
Python编程快速上手-让繁琐工作自动化
【代码审计阶段】
代码审计：企业级Web代码安全架构
【内网渗透阶段】
内网安全攻防：渗透测试实战指南
社会工程防范钓鱼欺诈
❾ 白帽子讲Web安全的前言
在2010年年中的时候，博文视点的张春雨先生找到我，希望我可以写一本关于云计算安全的书。当时云计算的概念正如日中天，但市面上关于云计算安全应该怎么做却缺乏足够的资料。我由于工作的关系接触这方面比较多，但考虑到云计算的未来尚未清晰，以及其他的种种原因，婉拒了张春雨先生的要求，转而决定写一本关于Web安全的书。 我对安全的兴趣起源于中学时期。当时在盗版市场买到了一本没有书号的黑客手册，其中coolfire 的黑客教程令我印象深刻。此后在有限的能接触到互联网的机会里，我总会想方设法地寻找一些黑客教程，并以实践其中记载的方法为乐。
在2000年的时候，我进入了西安交通大学学习。在大学期间，最大的收获，是学校的计算机实验室平时会对学生开放。当时上网的资费仍然较贵，父母给我的生活费里，除了留下必要的生活所需费用之外，几乎全部投入在这里。也是在学校的计算机实验室里，让我迅速在这个领域中成长起来。
大学期间，在父母的资助下，我拥有了自己的第一台个人电脑，这加快了我成长的步伐。与此同时，我和一些互联网上志同道合的朋友，一起建立了一个技术型的安全组织，名字来源于我当时最喜爱的一部动漫：“幻影旅团”。历经十余载，“幻影”由于种种原因未能得以延续，但它却曾以论坛的形式培养出了当今安全行业中非常多的顶尖人才。这也是我在这短短二十余载人生中的最大成就与自豪。
得益于互联网的开放性，以及我亲手缔造的良好技术交流氛围，我几乎见证了全部互联网安全技术的发展过程。在前5年，我投入了大量精力研究渗透测试技术、缓冲区溢出技术、网络攻击技术等；而在后5年，出于工作需要，我把主要精力放在了对Web安全的研究上。 发生这种专业方向的转变，是因为在2005年，我在一位挚友的推荐下，加入了阿里巴巴。加入的过程颇具传奇色彩，在面试的过程中主管要求我展示自己的能力，于是我远程关闭了阿里巴巴内网上游运营商的一台路由设备，导致阿里巴巴内部网络中断。事后主管立即要求与运营商重新签订可用性协议。
大学时期的兴趣爱好，居然可以变成一份正经的职业（当时很多大学都尚未开设网络安全的课程与专业），这使得我的父母很震惊，同时也更坚定了我自己以此作为事业的想法。
在阿里巴巴我很快就崭露头角，曾经在内网中通过网络嗅探捕获到了开发总监的邮箱密码；也曾经在压力测试中一瞬间瘫痪了公司的网络；还有好几次，成功获取到了域控服务器的权限，从而可以以管理员的身份进入任何一位员工的电脑。
但这些工作成果，都远远比不上那厚厚的一摞网站安全评估报告让我更有成就感，因为我知道，网站上的每一个漏洞，都在影响着成千上万的用户。能够为百万、千万的互联网用户服务，让我倍感自豪。当时，Web正在逐渐成为互联网的核心，Web安全技术也正在兴起，于是我义无返顾地投入到对Web安全的研究中。
我于2007年以23岁之龄成为了阿里巴巴集团最年轻的技术专家。虽未有官方统计，但可能也是全集团里最年轻的高级技术专家，我于2010年获此殊荣。在阿里巴巴，我有幸见证了安全部门从无到有的建设过程。同时由于淘宝、支付宝草创，尚未建立自己的安全团队，因此我有幸参与了淘宝、支付宝的安全建设，为他们奠定了安全开发框架、安全开发流程的基础。 当时，我隐隐地感觉到了互联网公司安全，与传统的网络安全、信息安全技术的区别。就如同开发者会遇到的挑战一样，有很多问题，不放到一个海量用户的环境下，是难以暴露出来的。由于量变引起质变，所以管理10台服务器，和管理1万台服务器的方法肯定会有所区别；同样的，评估10名工程师的代码安全，和评估1000名工程师的代码安全，方法肯定也要有所不同。
互联网公司安全还有一些鲜明的特色，比如注重用户体验、注重性能、注重产品发布时间，因此传统的安全方案在这样的环境下可能完全行不通。这对安全工作提出了更高的要求和更大的挑战。
这些问题，使我感觉到，互联网公司安全可能会成为一门新的学科，或者说应该把安全技术变得更加工业化。可是我在书店中，却发现安全类目的书，要么是极为学术化的（一般人看不懂）教科书，要么就是极为娱乐化的（比如一些“黑客工具说明书”类型的书）说明书。极少数能够深入剖析安全技术原理的书，以我的经验看来，在工业化的环境中也会存在各种各样的问题。
这些问题，也就促使我萌发了一种写一本自己的书，分享多年来工作心得的想法。它将是一本阐述安全技术在企业级应用中实践的书，是一本大型互联网公司的工程师能够真正用得上的安全参考书。因此张春雨先生一提到邀请我写书的想法时，我没有做过多的思考，就答应了。
Web是互联网的核心，是未来云计算和移动互联网的最佳载体，因此Web安全也是互联网公司安全业务中最重要的组成部分。我近年来的研究重心也在于此，因此将选题范围定在了Web安全。但其实本书的很多思路并不局限于Web安全，而是可以放宽到整个互联网安全的方方面面之中。
掌握了以正确的思路去看待安全问题，在解决它们时，都将无往而不利。我在2007年的时候，意识到了掌握这种正确思维方式的重要性，因此我告知好友：安全工程师的核心竞争力不在于他能拥有多少个0day，掌握多少种安全技术，而是在于他对安全理解的深度，以及由此引申的看待安全问题的角度和高度。我是如此想的，也是如此做的。
因此在本书中，我认为最可贵的不是那一个个工业化的解决方案，而是在解决这些问题时，背后的思考过程。我们不是要做一个能够解决问题的方案，而是要做一个能够“漂亮地”解决问题的方案。这是每一名优秀的安全工程师所应有的追求。 然而在当今的互联网行业中，对安全的重视程度普遍不高。有统计显示，互联网公司对安全的投入不足收入的百分之一。
在2011年岁末之际，中国互联网突然卷入了一场有史以来最大的安全危机。12月21日，国内最大的开发者社区CSDN被黑客在互联网上公布了600万注册用户的数据。更糟糕的是，CSDN在数据库中明文保存了用户的密码。接下来如同一场盛大的交响乐，黑客随后陆续公布了网易、人人、天涯、猫扑、多玩等多家大型网站的数据库，一时间风声鹤唳，草木皆兵。
这些数据其实在黑客的地下世界中已经辗转流传了多年，牵扯到了一条巨大的黑色产业链。这次的偶然事件使之浮出水面，公之于众，也让用户清醒地认识到中国互联网的安全现状有多么糟糕。
以往类似的事件我都会在博客上说点什么，但这次我保持了沉默。因为一来知道此种状况已经多年，网站只是在为以前的不作为而买单；二来要解决“拖库”的问题，其实是要解决整个互联网公司的安全问题，远非保证一个数据库的安全这么简单。这不是通过一段文字、一篇文章就能够讲清楚的。但我想最好的答案，可以在本书中找到。
经历这场危机之后，希望整个中国互联网，在安全问题的认识上，能够有一个新的高度。那这场危机也就物有所值，或许还能借此契机成就中国互联网的一场安全启蒙运动。
这是我的第一本书，也是我坚持自己一个人写完的书，因此可以在书中尽情地阐述自己的安全世界观，且对书中的任何错漏之处以及不成熟的观点都没有可以推卸责任的借口。
由于工作繁忙，写此书只能利用业余时间，交稿时间多次推迟，深感写书的不易。但最终能成书，则有赖于各位亲朋的支持，以及编辑的鼓励，在此深表感谢。本书中很多地方未能写得更为深入细致，实乃精力有限所致，尚请多多包涵。 在安全圈子里，素有“白帽”、“黑帽”一说。
黑帽子是指那些造成破坏的黑客，而白帽子则是研究安全，但不造成破坏的黑客。白帽子均以建设更安全的互联网为己任。
我于2008年开始在国内互联网行业中倡导白帽子的理念，并联合了一些主要互联网公司的安全工程师，建立了白帽子社区，旨在交流工作中遇到的各种问题，以及经验心得。
本书名为《白帽子讲Web安全》，即是站在白帽子的视角，讲述Web安全的方方面面。虽然也剖析攻击原理，但更重要的是如何防范这些问题。同时也希望“白帽子”这一理念，能够更加的广为人知，为中国互联网所接受。 全书分为4大篇共18章，读者可以通过浏览目录以进一步了解各篇章的内容。在有的章节末尾，还附上了笔者曾经写过的一些博客文章，可以作为延伸阅读以及本书正文的补充。
第一篇 我的安全世界观是全书的纲领。在此篇中先回顾了安全的历史，然后阐述了笔者对安全的看法与态度，并提出了一些思考问题的方式以及做事的方法。理解了本篇，就能明白全书中所涉及的解决方案在抉择时的取舍。
第二篇 客户端脚本安全就当前比较流行的客户端脚本攻击进行了深入阐述。当网站的安全做到一定程度后，黑客可能难以再找到类似注入攻击、脚本执行等高风险的漏洞，从而可能将注意力转移到客户端脚本攻击上。
客户端脚本安全与浏览器的特性息息相关，因此对浏览器的深入理解将有助于做好客户端脚本安全的解决方案。
如果读者所要解决的问题比较严峻，比如网站的安全是从零开始，则建议跳过此篇，先阅读下一篇“服务器端应用安全”，解决优先级更高的安全问题。
第三篇 服务器端应用安全就常见的服务器端应用安全问题进行了阐述。这些问题往往能引起非常严重的后果，在网站的安全建设之初需要优先解决这些问题，避免留下任何隐患。
第四篇 互联网公司安全运营提出了一个大安全运营的思想。安全是一个持续的过程，最终仍然要由安全工程师来保证结果。
在本篇中，首先就互联网业务安全问题进行了一些讨论，这些问题对于互联网公司来说有时候会比漏洞更为重要。
在接下来的两章中，首先阐述了安全开发流程的实施过程，以及笔者积累的一些经验。然后谈到了公司安全团队的职责，以及如何建立一个健康完善的安全体系。
本书也可以当做一本安全参考书，读者在遇到问题时，可以挑选任何所需要的章节进行阅读。 感谢我的妻子，她的支持是对我最大的鼓励。本书最后的成书时日，是陪伴在她的病床边完成的，我将铭记一生。
感谢我的父母，是他们养育了我，并一直在背后默默地支持我的事业，使我最终能有机会在这里写下这些话。
感谢我的公司阿里巴巴集团，它营造了良好的技术与实践氛围，使我能够有今天的积累。同时也感谢在工作中一直给予我帮助和鼓励的同事、上司，他们包括但不限于：魏兴国、汤城、刘志生、侯欣杰、林松英、聂万全、谢雄钦、徐敏、刘坤、李泽洋、肖力、叶怡恺。
感谢季昕华先生为本书作序，他一直是所有安全工作者的楷模与学习的对象。
也感谢博文视点的张春雨先生以及他的团队，是他们的努力使本书最终能与广大读者见面。他们的专业意见给了我很多的帮助。
最后特别感谢我的同事周拓，他对本书提出了很多有建设性的意见。
吴翰清
2012年1月于杭州
❿ 大一网络工程专业想学习网络安全如何 学习
第一，可以买一本《白帽子讲web安全》来看着先，作者是吴翰清。先了解常见漏洞的原理，没必要研究的太深，因为光看很难理解，后面结合实践来理解事半功倍。
第二，多看一些安全公众号的文章，和一些博客文章，然后可以试着去做一些ctf的题目，可以拓展你的知识面和帮助你理解，几个较好的ctf平台有bugku、xctf，国外的有hackthebox，不过hackthebox难度较大，不建议一上来就去那里。ctf的题目不应该局限于web题目，其他的都可以做一下，毕竟一些安全比赛题目类型很多。
第三，可以去挖一些公益漏洞，挖之前先看别人怎么挖，挖漏洞是有技巧的，多看文章，可以去了解一下src。
第四，学好python，它是最契合网络安全的语言，可以用他来写脚本进行攻击非常nice。当然了如果可以的话，也要学好java，很多漏洞扫描器都是java写的，逆向方向需要java代码审计能力。也要学好网页设计这门课程，都是基础来的。
第五，web安全的最后都是内网渗透，拿下了一个网站，紧接着要拿下的就是他的主机，Linux基础要学好，这个你前面的积累，也是放到最后的一个。