【学习资料】
导语什么是Web安全？我应该如何开始学习？学习过程中应该注意哪些问题？...也许你心里有这样的问题，但别担心，本文将逐一回答这些问题。
正文定义
Web顾名思义，安全是有保障的Web一个可以持续安全运行的分支领域。
Web应用程序是指从网站的前端页面到后端服务，可以大致理解为网站及其支持相关服务，该领域的常见漏洞sql注入漏洞，xss漏洞，c SRF漏洞等，漏洞种类多样，趣味性强，更适合新手入门。
以下是您的介绍Web以下解释主要从原则的角度出发，旨在帮助新手朋友更好地理解相关漏洞，不讨论具体的技术细节。
常见漏洞SQL注入（SQL Injection）
网站，也就是web应用程序通常涉及数据查询和修改，需要使用数据进行操作SQL语言(结构化查询语言((structured Query Language)简称SQL，编程语言的特殊目的)。
网站在使用SQL查询数据时，用户输入信息或提交交的参数(例如，您在使用百度时输入的关键字..）将会参与到SQL在数据查询过程中，一旦用户提交了有害数据，就有可能对网站运行造成危害。
注入有害数据SQL这也是查询过程中的SQL注入命名原因。
SQL注入漏洞往往会导致数据泄露，比如前几年爆发的社工库。"，”人rou"在搜索、全球数十亿密码泄露等事件背后，或多或少都有SQL注射的影子。
SQL注入的定义如下：
当Web应用程序传输到后台数据库SQL数据库操作语句。如果用户输入的参数没有严格过滤，攻击者可以构建特殊的参数SQL语句，直接输入数据库执行，获取或修改数据库中的数据。
XSS跨站脚本攻击（cross-Site Scripting，XSS）
同样，由于网站没有严格过滤用户的输入内容，用户浏览器执行了一些恶意脚本代码XSS漏洞。
基于一个网站的呈现HTML,CSS,js等待脚本语言，浏览器的作用是什么？简单地说，它是渲染只有计算机才能理解的脚本语言和代码到我们看到的图像和文本。
以百度为例。
当我们与安装网站的服务器通信时，我们实际上收到了使用HTML浏览器会翻译语言编写的源代码。
(浏览器将下面的源代码翻译成百度搜索页面)
如果我们能利用网站的一些缺陷，在网站源代码中注入自己构建的恶意脚本代码，当其他用户浏览网页时，我们构建的恶意代码将被浏览器翻译，造成危害（Cookie泄漏、键盘记录等。)，形成XSS漏洞。
CSRF伪造跨站请求（Cross Site Request forgery）
这个漏洞通常不会直接攻击网站服务器，而是冒充用户在网站上的正常操作，以达到攻击的目的。当我们与网站互动时，绝大多数操作都是基于浏览器和网站服务器的通信请求。例如，我们将在一些购物网站下订单，转移给指定用户，或查询我们的测试结果。
如果用户能够通过浏览器悄悄伪造一些请求操作，然后对用户产生有害的攻击行为，那么就形成了CSRF漏洞。
上面提到的，XSS漏洞可以在用户不知情的情况下执行恶意操作，如果我们在XSS具体的伪造请求包含在攻击代码中？CSRF漏洞不谋而合。XSS与CSRF常配合使用，威力巨大。
防范CSRF需要添加 的漏洞token 或 referer 来防御，云影安全后续会进一步解释。
ddos 分布式拒绝攻击(Distributed Denial of Service)
起源于20世纪90年代，经过20多年的发展，经久不衰。Ddos攻击已经成为网络安全领域影响最为深远的威胁之一。
严格地说，Ddos不完全属于Web所有提供外部服务的服务器或主机都存在于安全范围内DDOS但是DDOS攻击在Web这里解释一下这个领域比较常见，危害很大。
那么什么是DDOS攻击呢？如果多个主机向目标网站或服务器发送大量请求，超过网站或服务器处理能力的上限，导致服务瘫痪，则可称为DDOS攻击。
举一个更经典的例子，假设一家餐厅可以同时容纳50人，假设餐厅在很短的时间内涌入数百名顾客，餐厅的正常用餐秩序将不可避免地受到毁灭性的影响。
DDOS目前，攻击已经发展出多种攻击模式和手段，目前还没有完善的应对策略。关键是要精心发动DDOS攻击往往利用合理的服务请求占用过多的服务资源，难以区分正常用户的请求，使服务器无法处理合法用户的指令。
方法论孤帆终究要起航，侠客也要闯荡。当你开始踏上时Web在安全之路之前，我们愿与您分享一些可能有助于探索和学习的经验。
1.亲手实践
纸最终感觉肤浅，绝对知道这件事要练习。在学习漏洞原理或使用技能时，最好不要停止只理解技术文章。相关的介绍文章通常主要是解释想法。为了确保文章的整体连贯性，将忽略一些技术细节。例如，程序的运行环境、设备的网络状况和相关应用组件的具体版本号。然而，对于初学者来说，这些技术细节也至关重要。如果你没有亲自练习，你就永远不会接触到被忽视的细节。细节决定成败，对漏洞利用过程的不完整理解将对进一步的学习和探索产生不可估量的影响。同时，索产生不可估量的影响。同时，动手操作也有利于巩固对知识的理解和记忆，加深印象。漏洞种类繁多，差异化的利用条件也决定了漏洞利用的成功，因此在实践中复制漏洞时，也需要完整的笔记。
2.构建体系
什么是系统？系统的本质是每个知识点的灵活串联和应用。在系统中，知识不再是一个系统的有机整体，分散在大脑的信息点上，而是相互补充和合作。事实上，这并不难理解。举个简单的例子，如果我们面前有一个中文技术文档，虽然我们不是专业人士，但我们仍然可以完成这个文档，但如果另一个不懂中文的外国人来阅读这篇文章，他甚至不能完成阅读。我们之所以能读完一篇不能完全理解的专业文章，是因为我们有一定的中文基础知识。换句话说，在我们的大脑中，存储识字能力。我们可以将这些现有的能力整合到知识系统中。这样，当我们学习新知识时，我们就可以从构建的系统中找到已经形成的能力。好处是，完全陌生的知识将被分解并形成一些小的知识点。然后将系统中现有的能力逐一联系起来，以克服这些奇怪的问题。
3.分享交流
什么是黑客？真正的黑客可能不同于大多数人所理解的。黑客，英语Hacker狭义的音译是指专门研究和发现计算机和网络漏洞的计算机爱好者。根据黑客的原始定义，黑客对计算机有着狂热的兴趣和执着的追求，不断促进计算机和网络的发展和完善。显然，黑客与网络安全密切相关。黑客精神是关于开放的。黑客的行为是基于团队的。只有开放，参与者才能充分发挥最大的能量，修复和改造。互联网上最有价值的行为是 「奉献」，技术在奉献中取得了进步，知识在共享中得到了丰富。共享与交流无疑是互联网建筑的基石。只有知识共享才能促进我们不断前进。参观社区，分享一些自我学习的经验，对人和自己都有很大的好处。
点击查看黑客学习资料·攻略】
