本書的試讀章節讓我們知道了會話劫持的危害性，對身份驗證和會話管理做了詳細的講解。首先讓我們看看下面兩個概念：
1.什麼是owasp？
owasp開放式web
應用程式軟體。
2.什麼是esapi？
esapi (owasp企業安全應用程式介面)是乙個免費、開源的、網頁應用程式安全控制項庫，它使程式設計師能夠更容易寫出更低風險的程式。esapi介面庫被設計來使程式設計師能夠更容易的在現有的程式中引入安全因素。esapi庫也可以成為作為新程式開發的基礎。
伴隨網際網路的高速發展，基於b/s架構的業務系統對安全要求越來越高，安全從業人員面臨空前的壓力。如何讓安全從業人員快速掌握web應用安全？
在安全領域中，有兩個非常重要的概念— —authentication(身份驗證)和authorization(授權)。authentication說明你是誰，authorization說明你可以幹什麼？在當今的網路應用中最常見的身份認證方式就是使用者名稱加密碼或者其他的只有當前使用者知道的一些私人問題。
我們將採用什麼措施來保護我們的會話？
1.採用強演算法生成session id.
2.軟硬兼施，會話過期.
3.保護你的cookie.
4.提供logout功能.
現在很多網銀登入是是採用兩種身份驗證，一般的都是使用者名稱/密碼加上手機的乙個動態指令來進行身份驗證。
但是，我在用的過程中覺得還不是那麼的安全，因為你登入之後忘記了退出，當我下次登入的時候就沒有了手機動態指令的輸入。這是乙個很大的安全隱患，所以我覺得安全身份驗證越多，就越加的安全。
Web應用安全威脅與防治
本書的試讀章節讓我們知道了會話劫持的危害性，對身份驗證和會話管理做了詳細的講解。首先讓我們看看下面兩個概念 1.什麼是owasp？owasp開放式web 應用程式軟體。2.什麼是esapi？esapi owasp企業安全應用程式介面 是乙個免費 開源的 網頁應用程式安全控制項庫，它使程式設計師能夠更...
威脅web應用安全的錯誤
一般絕大部分的web應用攻擊都是特定目標的大範圍漏洞掃瞄，只有少數攻擊確實是為入侵特定目標而進行的針對性嘗試。這兩種攻擊都非常頻繁，難以準確檢測出來，許多 的web應用防火牆都無法保證能夠有效執行。有一些被忽略的安全錯誤可能會威脅到web應用的安全。存在的sql注入漏洞 sql注入依然活躍著，安全監...
Web的安全威脅
1 authentication 驗證 用來確認某使用者 服務或是應用身份的攻擊手段 2 authorization 授權 用來決定是否某使用者 服務或是應用具有執行請求動作必要的攻擊手段 3 client side attacks 客戶端攻擊 用來擾亂或者是探測web站點使用者的攻擊手段 4 co...