豆瓣评分 8.6！破晓大牛仅用一份手册就把 Web 安全讲明白了！

纵观国内网络安全方面的书籍，大多数都是只介绍结果，从未更多地考虑过程。而今天给小伙伴们分享的这份手册恰恰是从实用角度出发，本着务实的精神，先讲原理，再讲过程，最后讲结果，是每个从事信息安全的从业人员不可多得的一本实用大全。

这份手册总结了当前流行的高危漏洞的形成原因、攻击手段及解决方案，并通过大量的示例代码复现漏洞原型，制作模拟环境，更好地帮助读者深入了解 Web 应用程序中存在的漏洞，防患于未然。

从攻到防，从原理到实战，由浅入深、循序渐进地介绍了 Web 安全体系。全书分 4 篇共 16 章，除介绍 Web 安全的基础知识外，还介绍了 Web 应用程序中最常见的安全漏洞、开源程序的攻击流程与防御，并着重分析了“拖库”事件时黑客所使用的攻击手段。此外，还介绍了渗透测试工程师其他的一些检测方式。

限于文章篇幅原因，只能以截图的形式展示出来，有需要的小伙伴 点击这里凭本文截图即可获取！

废话不多说，下面把内容展示给大家：

基础篇

第 1 章 Web 安全简介

描述了服务器是如何被黑客入侵的，并从中引出 Web 安全的概念，同时也告诉读者如何更快、更好地学习 Web 安全。

第 2 章 深入 HTTP 请求流程

详细讲述了 Web 安全的一个核心知识点：HTTP 协议。如果是零基础的读者，建议定要多看 HTTP 协议，因为后续章节中的许多内容都会涉及 HTTP 协议。

第 3 章 信息探测

介绍了信息探测的知识点。渗透测试人员工作时，一般都是从信息探测入手的，也就是常说的踩点。信息探测是渗透测试的基本功,是必须学习的内容。本章介绍了 Google Hack、Nmap、DirBuster、指纹识别等技术。

第 4 章 漏洞扫描

讲解了渗透测试人员常用的安全测试工具，包括:BurpSuite、AWVS、APPSCAN 等工具。

原理篇

第 5 章 SQL 注入漏洞

讨论了 MySQL、SQLServer、Oracle 数据库的注入方式、注入技巧和不同数据库的注入差异。

第 6 章 上传漏洞

介绍了 XSS 攻击，其中讲解了 XSS 的形成原理、三种 XSS 类型、会话劫持、蠕虫等前端技术，最后提出了 XSS 有效的解决方案。

第 7 章 XSS 跨站脚本漏洞

讲解了上传漏洞和 Web 容器的漏洞。有时候程序是没有问题的，但如果与 Web 容器漏洞相结合，可能就会造成上传漏洞。

第 8 章 命令执行漏洞

描述了命令执行漏洞的形成原因和利用方式，同时也介绍了 Struts2 命令执行漏洞及命令执行漏洞的修复方案。

第 9 章 文件包含漏洞

讲解了 PHP 包含漏洞的原理和利用方式，同时也介绍了包含洞的修复方案。

第 10 章 其他漏洞

讨论的知识点比较广泛，比如 CSRF、逻辑漏洞、远程部署漏洞、代码注入等高危漏洞。

实战篇

第 11 章 实战入侵与防范

讲述了开源程序的攻击流程与防御，并着重分析了“拖库”事件时黑客所使用的攻击手段。

综合篇

第 12 章 暴力破解测试

详细讲述了暴力破解的测试方式，分别使用 Hydra、BurpSuite、Medusa 等工具对 MSSQL、MySQL、Web 应用程序进行破解，最后讲述了验证码的安全性及防止暴力破解的解决方案。

第 13 章 旁注攻击

讲述了旁注攻击。当目标 Web 应用程序无法寻找到漏洞时，攻击者常常会使用旁注攻击来入侵目标。本章剖析了旁注攻击的几个关键点，包括 I 逆向查询、SOL 跨库查询、绕过 CDN 等技术。

第 14 章 提权

讲述了提权。服务器提权可以更好地解释服务器的脆弱性，本章对 Linux、Windows 提权均做了分析。比如 Windows 下的三种提权方式：本地溢出提权、第三方组件提权和系统关键点利用。另外，也剖析了一部分提权时的采用手段，比如 DLL 劫持、端口转发、服务器添加后门等技术。

第 15 章 ARP 欺骗攻击

讲述了 ARP 攻击与防御。安全是一个整体，并不是 Web 应用程序找不到漏洞时，黑客就没办法了，黑客使用 ARP 欺骗技术可以轻松劫持到你的密码。本章从 ARP 协议开始讲解，接着深入讲解 ARP 欺骗的原理，其中介绍了 Cain、Ettercap、NetFuke 等嗅探工具。

第 16 章 社会工程学

讲述了社会工程学。社会工程学可以说是 APT 攻击中的关键一环，也被称为没有“技术”却比“技术”更强大的渗透方式。

限于文章篇幅原因，就展示到这里了，有需要的小伙伴 点击这里凭本文截图即可获取！