随着现代 HTML5 和 Web 2.0 Web 应用程序的出现，客户的需求发生了变化。现在，每个人都希望能够24/7/365访问他们可能需要的任何信息。结果，在线公司也被迫不断提供数据。虽然全球封锁期对于在家工作的人和在线零售商来说可能是一段美好时光，但对网络犯罪分子来说也是一个巨大的福音。
在线交易和远程工作的增加使他们能够破解大量信用卡数据并针对远程工作人员及其组织。这一进展也吸引了诈骗者和恶意黑客，他们不断开发新的威胁载体。报告称，今年约 80% 的公司遭遇网络攻击激增，而新冠病毒导致银行面临的威胁增加了 238%。
为了减轻所有这些攻击，亚美尼亚电话号码库
Web 应用程序安全性很早就诞生了。这个行业需要有才华的专业人士来帮助组织避免失去数据、金钱和消费者信任。这就是本文的目的，您将在其中了解什么是安全、对网络安全专业人员的期望以及您可以获得知识和掌握技能的来源。那么让我们开始吧？
内容 隐藏
1 什么是Web应用程序安全？
1.1 常见漏洞类型
1.1.1 跨站脚本（XSS）
1.1.2 跨站请求伪造（CSRF）
1.1.3 拒绝服务（DoS）和分布式拒绝服务（DDoS）
1.1.4 SQL注入
1.1.5 远程包含文件
1.1.6 其他
1.2 网络安全专家做什么？
1.3 保护 Web 应用程序的一些安全最佳实践
1.3.1 使用 Web 应用程序防火墙 (WAF)
1.3.2 DDoS 缓解
1.3.3 过滤机器人
1.3.4 DNS保护
1.3.5 使用HTTPS
2 波特斯威格
3 埃德X
4 斯坦福大学
5 初学者友好
6 课程
7渗透测试实验室
8 YouTube
9 摩斯拉
10 不败者
11 桑斯
12 云耀
13 结论
13.1 相关出版物：
什么是 Web 应用程序安全？
Web 安全、网络安全或 Web 应用程序安全是保护在线服务和网站免受利用应用程序代码中的漏洞的各种威胁的一种方法。此类攻击的一些常见目标是数据库管理解决方案（例如 phpMyAdmin）、SaaS 应用程序、内容管理系统（CMS）（例如WordPress）等。网络安全旨在通过禁止未经授权的访问、使用、破坏/毁坏或修改来防止此类攻击。
攻击者广泛攻击Web应用程序的原因是什么？
应用程序源代码的复杂性增加了漏洞和代码操纵的可能性。
应用程序易于使用；因此，攻击者可以轻松发起或自动化大多数攻击，这些攻击可以同时针对数千个应用程序。
宝贵的战利品，包括因源代码操纵而产生的机密和专有数据，以及经济损失。
常见漏洞类型
跨站脚本（XSS）
XSS 允许攻击者将客户端脚本注入网页并直接访问敏感数据、诱骗用户泄露敏感数据或冒充用户。其后果包括访问账户、激活木马、更改页面内容等。
跨站请求伪造（CSRF）
CSRF 诱骗受害者发出使用其授权或身份验证的请求。因此，通过使用这些帐户权限，攻击者可以冒充用户发出请求。这可能会导致资金转移、密码更改等。
拒绝服务 (DoS) 和分布式拒绝服务 (DDoS)
攻击者通过各种攻击流量使目标服务器和/或其基础设施超载。一旦服务器无法有效地处理请求，它就会开始表现迟缓，并最终拒绝为更多传入请求提供服务，即使是来自合法访问者的请求。
SQL注入
攻击者利用漏洞的方法与数据库实现搜索查询的方法类似。攻击者利用 SQI 获得未经授权的数据访问、创建或更改用户访问权限、破坏或操纵敏感数据等。
远程文件包含
攻击者使用它将恶意代码文件注入到 Web 应用程序服务器中，以执行这些代码来损害、操纵和窃取应用程序中的数据。
其他
其他攻击包括内存损坏、数据泄露、点击劫持、目录遍历、命令注入、石油溢出等。希望这足以让您了解网络安全是当前的需要，以及为什么每个人都应该尽快实施它，以免它对您的应用程序构成威胁并导致您的财务或声誉损失。由于该领域的需求不断增长，许多人渴望掌握它。如果你想学习这个学科，那么它可能是一个很好的职业选择，并且在个人层面上会有所回报。
网络安全专家做什么的？
Web 安全专家负责保护 Web 应用程序、关联网络和应用程序数据。它们通过监控网络和响应威胁来帮助减轻数据泄露的影响。这些专家拥有网络或系统管理员和程序员的经验。这是因为该领域需要好奇心、批判性思维以及对研究和学习的热情。他们必须能够智胜那些在开发和部署各种威胁方面具有“破坏性创造力”的黑客。
由于安全威胁随时可能出现，因此安全专业人员必须及时了解黑客用于渗透系统和网络的最新策略。网络安全专家的职责包括以下内容：
查找Web 应用程序、数据库和加密中的漏洞。
通过消除安全问题来减轻攻击
进行定期审核以确保最佳安全实践
部署端点防护和检测以防止恶意攻击
在云和本地资源中实施漏洞管理系统。
攻击发生时进行清理
与其他 IT 运营部门合作制定灾难恢复计划。
与团队领导和人力资源部门合作，培训所有员工识别可疑活动。
保护 Web 应用程序的一些安全最佳实践
使用 Web 应用程序防火墙 (WAF)
WAF有助于保护您的 Web 应用程序免受恶意HTTP 请求的侵害。它在攻击者和您的服务器之间设置了屏障。它可以保护第七层免受XSS、CSRF、SQL注入等威胁。
DDoS 缓解
顾名思义，它用于减轻对应用程序和网络层的DDoS 攻击，从而确保网站、应用程序和服务器基础设施的安全。
机器人过滤
它用于过滤掉不需要的机器人流量。
DNS保护
这样做是为了保护 DNS 查询不被路径攻击和 DNS 缓存中毒拦截。
使用 HTTPS
HTTPS对服务器和客户端之间交换的所有数据进行加密，以保护凭据、标头信息、cookie、请求数据等。因此，如果您决定学习 Web 应用程序安全，您可以转向以下学习资源并提高您的技能。
]
斯威格港
向 Burp Suite的创建者学习，Burp Suite 是 PortSwigger 的各种网络安全工具的领先平台。这是一项免费的在线培训，可以促进您的网络安全职业生涯。通过交互式实验室，您可以随时随地学习，并跟踪您的进度。培训内容包括业务逻辑漏洞、信息泄露、Web缓存中毒、不安全反序列化、SQL注入、XSS、CSRF、XXE注入等。
PortSwigger 培训材料由经验丰富的专业人士、研究团队及其创始人 Dafydd Stuttard 创建。他还是一本著名的书《Web 应用程序黑客手册》的作者。教材以文字和视频形式进行全面讲解，方便记忆要点。交互式实验室使整个课程变得有趣，他们在这里提出了现实的谜题来测试你的黑客技能。
埃德X
EdX 的网络安全基础知识课程非常适合了解基础知识。它为您提供了常见攻击的概述以及适合每种攻击的对策，仅在戏剧和实践中。您还将学习当前流行的保护 Web 应用程序的最佳安全实践。如果您想参加本课程，您不需要任何安全知识。但如果您愿意，它将极大地帮助您更好地理解HTTP、JavaScript、HTML等内容。
课程为期5周，每周4-6小时。培训完全免费；但是，如果您愿意，您可以支付 48.97 美元以获得经过验证且由教师签名且带有您学校徽标的证书。该证书可用于改善您的工作前景，并可在LinkedIn上共享或包含在您的简历中。
斯坦福大学
斯坦福大学的 CS 253 Web 安全课程全面概述了 Web 安全，旨在确保学生了解常见的 Web 攻击以及如何预防这些攻击。该课程不仅涵盖网络安全的基础知识，还涵盖网络安全的高级方面。
