[本月活动]《Web之困：现代Web应用安全指南》有奖试读活动 [复制链接]

现代的Web应用往往是架构在一堆历经时日、胡乱拼凑的技术根基之上。在Web应用的每个领域，从HTTP请求到浏览器端脚本，都包含着各种严重又隐蔽的安全漏洞。为保障用户的安全，开发人员对Web安全的整体把握就变得至关重要了。
    在本书中，世界知名的浏览器安全专家 Michal Zalewski为我们娓娓道来，他深入剖析了浏览器的工作机制，并解释了为什么从根本上来说，浏览器运行机制并不安全的原因。Zalewski 并非简单地针对每个漏洞泛泛地给出应对之策，而是着眼于揭示现有Web机制的弱点，为加固Web应用安全提供可用的关键信息。


讨论话题：
1、常见的Web安全漏洞有哪些？
2、如何处理某些常见但又异常复杂的编程任务，如URL解析和HTML清理？
3、试读图书章节后谈谈您的感想
活动时间：
2013年10月 25日——11月 15 日
活动规则：
1、针对以上其中任意一个问题跟帖回答，活动结束后我们从回贴中择优选出四位网友，赠送《Web之困：现代Web应用安全指南》
2、同时特设抢楼环节，在99楼参与讨论的网友将获得本期图书一本作为奖励（99楼的网友必须有效参与以上三个话题讨论，否则奖品会进行顺延）
3、只要跟贴的网友均可获得20黑豆作为活动奖励

购买地址： 点击进入当当网购买
图书简介:
本书开篇回顾了Web的发展历程和安全风险的演化；第一部分解剖了现代浏览器的工作原理，包括URL、HTTP协议、HTML语言、CSS、文档格式、浏览器插件等内容；第二部分从浏览器的设计角度深入分析了各种现代Web浏览器（Firefox、Chrome、IE等）所引入的重点安全机制，例如同源策略、源的继承、窗口和框架的交互、安全边界、内容识别、应对恶意脚本、外围的网站特权等，并分析了这些机制存在的安全缺陷，同时为Web应用开发者提供了如何避免攻击和隐私泄露的应对措施；第三部分对浏览器安全机制的未来趋势进行了展望，包括新的浏览器特性与安全展望、其他值得注意的浏览器、常见的Web安全漏洞等。



朱筱丹 毕业于华南理工大学无线电系，某信息安全公司工程师。在安全技术领域摸爬滚打多年，热爱读书与美食。
审校者简介
殷钧钧  资深安全架构师，知名白帽子，Web开发者

讨论话题：
常见的Web安全漏洞有哪些？
一、注入攻击
这主要是网站的程序本身，没有过滤一些危险字符造成的。
SQL盲注
OS 命令注入
cookie SQL注入
SQL错误信息 注入
LDAP注入
XPath注入
JSON注入
框架注入
链接注入
……等

二、XSS跨站攻击
XSS也是一种网站应用程序的安全漏洞攻击
大体上分三类：
反射型XSS
存储型XSS
DOM XSS
详细划分还可以划分为：
mhtml跨站、宽字符集跨站等等

其他的还有伪造跨站点请求、会话劫持，留给其他小伙伴了

楼上这只菜鸟比我知道的多很多啊

雪狼 MJJ

好大一只青蛙哦 怎么可以随街跳的

这里,我非常希望获得这本书,借着红黑论坛 发表一下读后感以及个人实践的经验
首先,此书从历史角度介绍了浏览器的发展,以及演变过程.以及web安全的格局与困惑,浏览器发展的协同与c/s架构的日渐模糊化
其次,第二章介绍了一切从url开始以及ascii编码,以及第三方应用插件与 web协议.以及浏览器的filter(过滤器) 并说明了安全方法:在很罕见的情况下，可能还需要检查URL里的IDNA、IPv6括号表示法、端口号或HTTP验证授权信息等。如果确实需要，必须对整个URL进行彻底的解析，验证各个部分，拒绝不正常的值，重新把整个URL序列化成一个没有歧义，符合规范，经过恰当转义的表达形式。
第三章介绍了http基本请求,post与get请求,持续会话缓存机制,作者并介绍了一些小技巧 (在很罕见的情况下，可能还需要检查URL里的IDNA、IPv6括号表示法、端口号或HTTP验证授权信息等。如果确实需要，必须对整个URL进行彻底的解析，验证各个部分，拒绝不正常的值，重新把整个URL序列化成一个没有歧义，符合规范，经过恰当转义的表达形式。)
下面我介绍一下自己了解的与实践的经验
如wooyun的许多例子,比如left.php或者manage.php等文件没有验证限制
如 wooyun的

再就是后台一些逻辑问题 如万能密码 或者弱密码
如:

还有比如x-forword 验证的(可以用ff的一个插件绕过)
还有user-agent绕过(插件),http editor绕过(查看源代码直接绕过)
再比如现在程序员对get的sql inj防护的比较好,而对 post往往是忽视的,抓包,然后构造,往往会事半功倍.
以及(用户可操作的变量都是"有害的")
以上就是读后感以及自己的一些牢骚...
另外:
谢谢作者以及出版社提供这么好的书 谢谢红黑提供论坛平台 , 希望获得书

顶一个，找PDF去

以前赚点黑豆很辛苦  为什么现在回复就能够有20黑豆了