白帽子讲安全 的一些记录点
安全三要素：机密性（加密），完整性（数字签名），可用性（DDos攻击）
安全评估：资产等级评估-》威胁分析-》风险分析-》设计安全方案
白帽子兵法：
secure by default：白名单黑名单，
flash : 检测服务器的crossdomain.xml来验证是否允许客户端flash跨域请求
最小权限原则：
纵深防御 Defense in Depth
数据与代码分离原则 缓冲区代码溢出，将用户数据当代码执行
不可预测性原则
浏览器安全：
同源策略
script,img,iframe,link等标签可以跨域加载资源，js不能读写这些标签返回的内容；
XMLHTTPRequest跨域访问标准
浏览器沙箱
挂马 利用浏览器漏洞执行恶意代码 DEP，ASLR，SafeSEH等操作系统保护技术，浏览器多进程架构
恶意网址拦截 挂马网址，钓鱼网址
IE8 XSS filter功能
firefox4:content secuity policy 返回http的访问控制策略
跨站脚本攻击 XSS
反射性XSS：简单的把用户输入反射到浏览器
存储型XSS：把用户输入的数据存储到服务器，
DOM based XSS：
XSS payload
XSS攻击：cookie劫持， httponly解决，cookieIP绑定
XSS钓鱼：
css HISTORY HACK 通过visited来获取用户访问过的链接
获取用户的真实ip地址 利用java Applat
攻击平台：
Attack API
BEFF
XSS-Proxy
XSS Worm 发送站内信，用户留言
XSS攻击技巧：
利用字符编码
绕过长度检测 最常用藏代码的地方：location.hash
base标签 劫持页面所有的相对路径
window.name 共享数据，
apache expect header xss
flash xss 限制flash动态脚本参数allowscriptaccess allownetworking
XSS防御：
HttpOnly：禁止浏览器访问带有httponly的cookie apache TRACE漏洞，把request头作为response返回，从而获得httponly cookie。
XSS FIlter：输入检查
输出检查 HTMLEncode JAVAscriptEncode URLEncode
标签选择尽量使用白名单，不要使用黑名单。
跨站点请求伪造：CSRF
浏览器cookie策略：session cookie|本地cookie session会发送到不同域中，而本地cookie不能跨域发送
P3P header：
CSRF防御
1.验证码
2.referer check 图片盗链 并非什么时候都能渠道referer，https-http
3.anti-csrf-token
足够随机，安全随机数生成token
生成多个有效的token，多页面共存
token曝露，隐藏在表单中，POST方式提交
点击劫持（clickjacking)
透明iframe
flash点击劫持
图片覆盖攻击
拖曳劫持与数据窃取
clickjacking3.0:触屏劫持
防御clickJacking：
frame busting:禁止iframe嵌套 html5的sandbox属性，IE中iframe的security属性都可以禁止iframe脚本执行，绕过frame busting。
x-Frame-options: http头的X-Frame-options
Html5安全：
新标签的XSS Vidio，audio
a, area: linked type noreferer
canvas 破解验证码
跨域资源共享 Access-Control-Allow-Origin Origin
PostMessage window.name
web storage: cookie，flash shared data，IE userData 受同源策略约束
注入攻击：
SQL注入
XML注入
代码注入 eval system
CRLF注入 http头 X-XSS-Protection:0
数据与代码分离
文件上传漏洞
上传web脚本并被执行
设计安全的文件上传功能：文件上传目录不可执行；判断文件类型；使用随机数改写文件名和文件路径；单独设置文件服务器的域名。
认证与会话管理：
Session fixation:session Id登录前后没有变化，在登录完成后，重写sessionID。
Session过期，强制销毁session
访问控制
基于url的访问控制
加密
流密码 Stream cipher attack: RC4,ORYX,SEAL
HMAC
密钥管理，定时更新
使用安全的随机函数 java.security.SecureRandom
web框架安全
strust2 script标签过滤xss漏洞
应用层拒绝服务攻击
DDOS攻击：SYN flood，UDP flood，ICMP flood
SYN flood：SYN cookie，SYN proxy，safereset
应用层DDOS
限制客户端的访问频率
资源耗尽攻击
HTTP POST DOS
Server Limit DOS
ReDos 正则表达式引发的血案
PHP安全
文件包含漏洞
远程文件包含
全局变量覆盖
Web Server配置安全
apache安全：减少不需要的modules，专门用户运行apache，保护apache log
nginx：
ＪＢＯＳＳ远程命令执行
Tomcat远程命令执行
Http Parameter POLLution
互联网业务安全
DO-NOT-TRACK
安全开发流程