白帽子講Web安全（紀(jì)念版）

第一篇 世界觀安全
第1 章 我的安全世界觀2
1 1 Web 安全簡(jiǎn)史2
1 1 1 中國(guó)黑客簡(jiǎn)史2
11 2 黑客技術(shù)的發(fā)展歷程3
11 3 Web 安全的興起5
12 黑帽子，白帽子6
13 返璞歸真，揭秘安全的本質(zhì)7
14 破除迷信，沒有銀彈9
15 安全三要素10
16 如何實(shí)施安全評(píng)估 11
16 1 資產(chǎn)等級(jí)劃分12
16 2 威脅分析13
16 3 風(fēng)險(xiǎn)分析14
16 4 設(shè)計(jì)安全方案15
17 白帽子兵法16
17 1 Secure By Default 原則16
17 2 縱深防御原則18
17 3 數(shù)據(jù)與代碼分離原則19
17 4 不可預(yù)測(cè)性原則21
18 小結(jié)22
（附）誰(shuí)來(lái)為漏洞買單？23
第二篇 客戶端腳本安全
第2 章 瀏覽器安全26
21 同源策略26
22 瀏覽器沙箱30
23 惡意網(wǎng)址攔截33
24 高速發(fā)展的瀏覽器安全36
25 小結(jié)39
第3 章 跨站腳本攻擊（XSS） 40
31 XSS 簡(jiǎn)介40
32 XSS 攻擊進(jìn)階43
32 1 初探XSS Payload43
32 2 強(qiáng)大的XSS Payload  46
32 3 XSS 攻擊平臺(tái)62
32 4 終極武器：XSS Worm64
32 5 調(diào)試JavaScript 73
32 6 XSS 構(gòu)造技巧76
32 7 變廢為寶：Mission Impossible 82
32 8 容易被忽視的角落：Flash XSS 85
32 9 真的高枕無(wú)憂嗎：JavaScript 開發(fā)框架87
33 XSS 的防御89
33 1 四兩撥千斤：HttpOnly 89
33 2 輸入檢查93
33 3 輸出檢查95
33 4 正確地防御XSS 99
33 5 處理富文本 102
33 6 防御DOM Based XSS 103
33 7 換個(gè)角度看XSS 的風(fēng)險(xiǎn) 107
34 小結(jié) 107
第4 章 跨站點(diǎn)請(qǐng)求偽造（CSRF）  109
41 CSRF 簡(jiǎn)介 109
42 CSRF 進(jìn)階 111
42 1 瀏覽器的Cookie 策略 111
42 2 P3P 頭的副作用 113
42 3 GET? POST? 116
42 4 Flash CSRF 118
42 5 CSRF Worm 119
43 CSRF 的防御 120
43 1 驗(yàn)證碼 120
43 2 Referer Check 120
43 3 Anti CSRF Token 121
44 小結(jié) 124
第5 章 點(diǎn)擊劫持（ClickJacking） 125
51 什么是點(diǎn)擊劫持 125
52 Flash 點(diǎn)擊劫持 127
53 圖片覆蓋攻擊 129
54 拖拽劫持與數(shù)據(jù)竊取 131
55 ClickJacking 30：觸屏劫持 134
56 防御ClickJacking 136
561 frame busting  136
562 X-Frame-Options  137
57 小結(jié) 138