白帽子（1）-web世界观

基本概念

安全问题本质是信任问题

设计安全方案的基础都是建立在信任关系上的，我们必须相信一些东西，必须有一些基本的假设，安全方案才能建立。

安全是一个持续的过程

安全是一个持续的过程，攻击方式在变，防御方式也在变

安全要素

名称	英文名	说明
机密性	confidential	要求保密的数据内容不能被泄露
完整性	integrity	数据不能被篡改，是完整的
可用性	availability	保护资源可以得到，DOS

扩充的一些要素：可审计性和不可抵赖性

安全评估

资产登记划分
网络安全的核心问题时数据安全，因此，我们主要对数据的等级进行划分，当然对于服务器等固有资产主要从管理，物理安全角度去考虑.
当我们对数据安全划分后，然后就想划分信任域和信任边界。如网络逻辑：Data Store --> web_app --> internet
威胁分析
1. 威胁(Threat：可能造成危害的来源
2. 了解stride模型

威胁	定义	对应安全属性
spoofing 伪装	冒充他人身份	认证
Tampering 篡改	修改数据或代码	完整性
Repudiation	否认做过的事情	不可抵赖
Information Disclosure 信息泄露	机密信息泄露	机密性
Denial of Service 拒绝服务	DOS	可用性
Elevation of Privilege 提升权限	未授权访问	授权

风险分析

风险：可能造成的损失，公式

Risk = Probability * Damage Potential (可能性 * 损失严重程度)

Dread模型

等级	高	中	低
Damage Protential 损失严重程度	提权，非法文件上传	泄露敏感信息	泄露其他数据
Reproducibility 可重复	随意再次攻击	重复，有时限	很难重复
Exploitability 可利用度	好利用	高级黑客才能	利用环境太难
Affected User	所有用户，默认用户，关键用户	部分用户，非默认用例	匿名用户
Discoverability 暴露性	很显眼	需要深入挖掘	发现极为困难

设计安全方案
- 能有效解决问题
- 用户体验好
- 高性能
- 低耦合
- 易于扩展和升级

白帽子兵法

Secure By Default
黑白名单原则
尽可能用白名单，但白名单的度必须得到控制，比如匹配字符串用了“*”,就比较危险
最小权限原则
减少暴露面
纵深防御原则
考虑全面，在不同层面，不同方面实施安全方案，避免出现疏漏，方案之间关联形成整体
原因：没有什么防御方案是万能，比如一个入侵案例中，攻击者可能经历多个攻击环节（获取权限，上传文件，提权，渗透内网等），
如果我们攻击环节都有相关的安全措施，入侵难度就会增加
在正确的地方做正确的事
安全方案实施地点要有效，比如xxs只有在html显示时才能生效，过滤特殊字符串是一种常用手法，但过滤要考虑实际输出，不能任何情况都去过滤，改变用户的输入意图。也就是说，简单在系统获取输入时时就对变量过滤特殊字符，很容易误杀。最好是再拼装html时，系统获取html上下文语意后，决定需要过滤的字符串，来避免误杀情况
数据与代码分离原则
这个是解决注入问题的基本思路。不同的注入手法，有不同的解决方式
不可预测原则
1. 缓冲区溢出场景，我们通过ASLR技术，让程序每次启动，进程的栈基值都不相同。
2. 序号管理将数字升序排序改为字符串随机
3. CSRF中的token

白帽子（1）-web世界观相关推荐

读白帽子讲WEB安全，摘要
读<白帽子讲WEB安全>摘要文章目录我的安全世界观安全三要素-CIA 如何实施安全评估白帽子兵法客户端安全浏览器安全同源策略浏览器沙箱恶意网址拦截高速发展的浏览器安全 ...
白帽子讲WEB安全读书笔记（慢慢更新）
道哥写的白帽子讲WEB安全的读书笔记文章目录 2020.3.23 ◆ 前言 ◆ 第一篇世界观安全 1.1 Web安全简史 >> 1.1.1 中国黑客简史 >> 1.1.2 ...
在学习web安全的小白看过来，这本《白帽子讲web安全》强烈推荐，必读！(附PDF)
Web是互联网的核心,是未来云计算和移动互联网的最佳载体,因此Web安全也是互联网公司安全业务中最重要的组成部分. 前排提醒:文末有pdf领取下面来看看几种常见的web漏洞: 1.XSS跨站脚本攻击 ...
《白帽子讲Web安全》读后感 —— 对道哥的致敬
<白帽子讲Web安全>读后感 --Deep Blue (一个安全小兵的感受) 这是一篇作业:这是一篇读后感:这是一篇记录安全的感悟:这是一篇对道哥的敬仰:这是我安全启蒙的钥匙...... ...
《白帽子讲Web安全 -- 纪念版吴翰清著》读后随笔
<白帽子讲Web安全 – 纪念版吴翰清著> 该书大多数内容举例大多数是2010年左右的相隔11年左右, 但是内容并没有被淘汰, 感觉很适合入门, 因为内容详细且比较基础当然, 这只是 ...
学习web安全，强烈推荐这本《白帽子讲web安全》！
Web是互联网的核心,是未来云计算和移动互联网的最佳载体,因此Web安全也是互联网公司安全业务中最重要的组成部分. 下面来看看几种常见的web漏洞: 1.XSS跨站脚本攻击 XSS跨站脚本攻击,通常指 ...
分享笔记1 之《白帽子讲web安全》
分享笔记1 之<白帽子讲web安全> 目录第一篇世界观安全第1章我的安全世界观 2 1.1 web安全简史 2 1.1.1 中国黑客简史 2 1.1.2 黑客技术的发展历程 3 1 ...
白帽子讲Web安全（纪念版）
作者:吴翰清出版社: 电子工业出版社品牌:博文视点出版时间:2021-05-01 白帽子讲Web安全(纪念版)
白帽子讲web安全——认证与会话管理
在看白帽子讲web安全,刚好看到认证与会话管理:也就是我们在平常渗透测试中遇到最多的登录页面,也即是用户名和密码认证方式,这是最常见的认证方式. 了解两个概念:认证和授权 1):认证的目的是为了认出用 ...
读《白帽子讲Web安全》之客户端脚本安全（一）
2019独角兽企业重金招聘Python工程师标准>>> [第2章浏览器安全] 1.同源策略(Same Origin Policy)是一种约定,它是浏览器最核心也最基本的安全功能. ...

白帽子（1）-web世界观

基本概念

安全要素

安全评估

白帽子兵法

白帽子（1）-web世界观相关推荐

最新文章

热门文章