黑客攻防技术宝典 Web实战篇1-8章总结

第一章 web应用程序安全与风险

1.基本的web功能，购物，社交，银行，邮件，博客，搜索，博彩等。

2.web应用程序是不安全的。

3.安全的核心问题是用户可以任意提交数据。

4.web应用程序的工具目标已由传统的服务器端应用程序转向客户端应用程序。

第二章 核心防御技术

1.web应用程序使用三层相互关联的安全机制处理用户访问：
身份验证：最低一级的信任。输入用户名密码是最典型的一种身份验证方式。
会话管理：会话本身是一组保存在服务器上的数据结构，服务器会给每位用户发送一个表示 会话的令牌，令牌的安全性决定了会话管理机制的有效应。HTTP Cookie是最常见的一种会话令牌的实现形式。
访问控制：决定允许或拒绝每一个请求。  403访问权限拒绝。
2.处理输入的方法：
黑名单：拒绝已知的不良输入
白名单：接受已知的正常输入
净化（过滤）：删除，转义
对数据进行处理：参数化查询
语法检查：检查攻击者 的恶意输入，企图访问另一个正常用户的数据。
3.边界确认和，多步确认和规范化

第三章 Web应用程序技术

1.Http协议（掌握）
http请求与响应

If-Modified-Since：说明最后一次收到请求资源的时间，如果服务器资源没发生变化，服务器会返回304，指示客户端使用资源的缓存。

If-None-Match：指定一个实体标签，实体标签说明消息主题内容的表示符，服务器根据实体标签确定浏览器是否使用资源的缓存副本。
Orign：用于跨域的Ajax请求中，指示提出请求的域。

Expire：消息主体的有效时间
Location：重定向的目标
Pragma：传送缓冲指令（如no-cache）

domain：指定cookie有效域。
secure：只能通过https提交cookie。
httpOnly:无法通过Javascript直接访问cookie。

状态码：
301：将浏览器永久重定向到Location指定的URL。
302：将浏览器暂时重定向到Location指定的URL。
500：该状态码表示服务器在执行请求时
503
2.REST（表述性状态转移）
这是分布式系统的一种体系结构，
常规URL：http://www.xxx.com/search?make=ford&model=pinto
REST风格的URL：http://www.xxx.com/search/ford/pinto

3.同源策略： http://www.jianshu.com/p/4e17445d66e2 4.编码方案：
url编码、
unicode编码
HTML编码
Base64编码
十六进制编码