网络安全从业学习指南 V1.0-安全盒子

网络安全从业学习指南 V1.0

书籍:(我本想附着上目录…可实在是太长了…)

web security:

《http权威指南》【图灵出品】

网络安全从业学习指南 V1.0-安全盒子

深入理解web http/https协议 ,了解超文本传输协议是如何进行传输和编译的。

《javascript权威指南》

网络安全从业学习指南 V1.0-安全盒子

淘宝前端团队翻译,深入了解前端js变量,注释,函数,表达式等,学习xss必备书籍。还提及了jquery类库。

《xss跨站脚本攻击与防御》

网络安全从业学习指南 V1.0-安全盒子

学习xss基础必备。也是目前国内唯一一本专门介绍xss技巧的书籍

《白帽子讲web安全》

网络安全从业学习指南 V1.0-安全盒子

阿里安全专家吴瀚清处女作,大佬级黑客ucloud创始人季昕华做序。已成为web安全从业人员入门必看学习书籍。

《web前端黑客技术揭秘》

网络安全从业学习指南 V1.0-安全盒子

主要包含Web 前端安全的跨站脚本(XSS)、跨站请求伪造(CSRF)、界面操作劫持这三大类,涉及的知识点涵盖信任与信任关系、Cookie安全、Flash 安全、DOM 渲染、字符集、跨域、原生态攻击、高级钓鱼、蠕虫思想等,这些都是研究前端安全的人必备的知识点。

《代码审计:企业级web安全代码架构》

配合《细说php》最佳

网络安全从业学习指南 V1.0-安全盒子
网络安全从业学习指南 V1.0-安全盒子

阿里巴巴安全专家尹毅的新书,刚毕业就出书实在佩服。看了目录非常有料啊,预计12.8上货。

《kali linux&back track渗透测试实践》【图灵出品】

(没看过,淘宝看了下目录还不错的样子)

《sql注入攻击与防御》

网络安全从业学习指南 V1.0-安全盒子

详细的介绍了sql盲注等各种注入技巧。web安全入门必看。

《网络扫描技术揭秘》

网络安全从业学习指南 V1.0-安全盒子

出版已超过三年的老书。主要介绍网络扫描技术。如:分布式扫描,高速扫描等。

《python黑帽子》

网络安全从业学习指南 V1.0-安全盒子

作者根据自己在安全界,特别是渗透测试领域的几十年经验,向读者介绍了Python 如何被用在黑客和渗透测试的各个领域,从基本的网络扫描到数据包捕获,从Web 爬虫到编写Burp 扩展工具,从编写木马到权限提升等

《黑客技术攻防宝典:web安全篇》【图灵出品】

网络安全从业学习指南 V1.0-安全盒子

看第一遍的时候可能看不懂讲的什么玩意儿。主要看目录,一本普及面非常广阔的知识性图书,但是每个知识点概括不会很详细。也很值得收藏。

mobile security:

android security:

《andriod软件安全与逆向分析》【图灵出品】

网络安全从业学习指南 V1.0-安全盒子

我大非虫原创处女作,通俗易懂涉及面广。不管新手老手都适合看。全书主要讲解Android 环境搭建,Android组件,Android软件安全测试之法。

《android安全攻防指南》【图灵出品】

网络安全从业学习指南 V1.0-安全盒子

众多大牛推荐…内在自然是不少干货

为白帽子提供了漏洞发现、分析和利用的使用工具。在详细介绍android操作系统工作原理和总体安全架构后,研究了如何发现漏洞,为各种系统部件开发利用,并且进行应对。移动设备管理者、安全研究员、android应用程序开发者和负责评估android安全性的顾问都可以在本书中找到必要的指导和工具。

《andriod安全攻防实战》

网络安全从业学习指南 V1.0-安全盒子

没看过。。。看看目录还行

《andriod安全技术揭秘与防范》

网络安全从业学习指南 V1.0-安全盒子

一本新书,红衣教主推荐的,已加入豪华购物车。未阅

《android系统安全和反汇编实战》

网络安全从业学习指南 V1.0-安全盒子

没看过。。-_-||

ios security:

《ios应用安全攻防实战》

网络安全从业学习指南 V1.0-安全盒子

如何保障自己的应用数据安全?本书提供一些用于防御常见攻击方法的方式。

《黑客攻防技术宝典 ios实战篇》【图灵出品】

网络安全从业学习指南 V1.0-安全盒子

国际大牛之作,介绍iOS应用漏洞挖掘方式,模糊测试技巧。

《ios取证实战》

网络安全从业学习指南 V1.0-安全盒子

没看过。收藏很久了。

《ios应用逆向工程》

网络安全从业学习指南 V1.0-安全盒子

国内iOS老手杜总的力作。充分介绍iOS 安全机制,iOS反汇编技巧。

《移动应用安全》

网络安全从业学习指南 V1.0-安全盒子

主要从Android iOS windows mobile三个方向谈及安全知识。

《移动终端安全关键技术与分析》

网络安全从业学习指南 V1.0-安全盒子

我发现的唯一一本讲移动终端安全的书籍,纯知识性。没有代码分析等。很薄很薄。

bin or Reverse Engineering:

《intel微处理器》

(看雪坛友推荐,看了下目录是真心好啊,已加入豪华购物车…)

《逆向工程核心原理》【图灵出品】

网络安全从业学习指南 V1.0-安全盒子

韩国翻译过来的逆向书籍,深入浅出各种反汇编大法。调试大法,上钩大法。介绍利用各种工具。特别适合入门。

《加密与解密》

网络安全从业学习指南 V1.0-安全盒子

看雪论坛创始人锻钢著作。经典之经典。

主要介绍软件逆向,调试。反汇编,加壳脱壳等技术。

《挖0day》

网络安全从业学习指南 V1.0-安全盒子

八进制核心成员编写,测试方法基本过期。但是对于软件特性,漏洞挖掘思路绝对脑洞一开。

《有趣的二进制》【图灵出品】

网络安全从业学习指南 V1.0-安全盒子

不仅仅是书有趣,作者也是个有趣的人~一本由日文翻译过来的二进制安全书籍,翻译的非常仔细,仔细到调试工具里的弹窗文字都要翻译注释下来。基础书籍,事宜入门。也学学岛国的安全技术吧(天呐,我这么纯洁的人岛国是什么鬼…)

《模糊测试 强制发掘安全漏洞的利器》

网络安全从业学习指南 V1.0-安全盒子

超经典书籍。里面介绍的挖掘方法基本过期。但是技术思路和全书介绍的不少fuzz工具绝对值得收藏。

 

《汇编语言》

网络安全从业学习指南 V1.0-安全盒子

了解汇编语言。寄存器,地址布局,汇编指令,数据段是件对逆向工程有好处的事儿~

《格蠹汇编 软件调试案例锦集》

网络安全从业学习指南 V1.0-安全盒子

其实第二个字我还是不认识,不过淘宝搜索格囊汇编就行了。全书通篇介绍作者软件调试实战。没有一点水货~也不扯淡。学软件调试就看这个了。

《软件调试》

上面那本书的姊妹篇,同一个作者。

《逆向工程实战》 【图灵出品】

网络安全从业学习指南 V1.0-安全盒子

这本书一上来就分析栈操作和函数调用,对于新手来说不建议直接就啃。不过内容详细,看看上面的其他书籍或者了解一下汇编和C语言知识再啃这个比较合适。

 

《恶意代码分析实战》

稍偏门安全类:

无线:《无线网络黑客攻防》

网络安全从业学习指南 V1.0-安全盒子

详细介绍包括但不限于无线网络,无线蓝牙等无线攻防技术。了解什么是wpa,什么是cowpatty,mdk3。介绍  Auth Flood攻击 Deauth Flood攻击 Association Flood攻击 Disassociation Flood攻击RF Jamming攻击和各种漏洞测试方法。

 

《揭秘家用路由0day漏洞挖掘技术》

网络安全从业学习指南 V1.0-安全盒子

够详细,连指令表都有。从路由器web。客户端,以及硬件安全方面介绍,介绍了各种测试方法,利用方式,扫描技术。

内核: 《内核漏洞的利用与防范》

网络安全从业学习指南 V1.0-安全盒子

不是很好理解的一本书,毕竟内核漏洞也不是想挖就挖的到的……

《windows内核安全与驱动开发》

(没看过,讲不来。在购物车里躺好久了。)

浏览器:《web之困》

网络安全从业学习指南 V1.0-安全盒子

这是一本不介绍漏洞,也不讲测试的经典书。全原理式讲解浏览器安全的前世今生~

数据安全:《数据驱动安全》

网络安全从业学习指南 V1.0-安全盒子

360某安全团队翻译过来的…大数据时代,当然用数据说话…只是对照着英文版发现有一丢丢的翻译错误。不过…也确实不可错过的好书,毕竟这类安全的中文书籍仅此一本。

云计算安全:《信息安全技术 云计算服务安全指南》

网络安全从业学习指南 V1.0-安全盒子

没看过,凑数用的…

tools books:(工具书就不用介绍了,干啥用的都知道。)

《metasploit渗透测试指南》

《wireshark2数据包分析实战》

《ida pro权威指南》【图灵出品】

《kali linux 渗透测试的艺术》

《github入门与实践》【图灵出品】

《fiddle调试权威指南》

《计算机安全超级工具集》

《雷神的微软平台宝典》

合集:

《黑客大曝光7》

网络安全从业学习指南 V1.0-安全盒子

这本书啥都有,简直就像黑客百科全书。

《深入理解计算机原理》

网络安全从业学习指南 V1.0-安全盒子

为什么我把这本书放在“合集”呢?因为只有先了解了计算机的运行原理,执行原理。你才知道上面看的那堆玩意儿他们在干嘛…

《互联网安全的40个智慧洞见》

网络安全从业学习指南 V1.0-安全盒子

2014年360ISC 演讲者PPT

 

《网络安全基础 第5版》

网络安全从业学习指南 V1.0-安全盒子

主要介绍网络安全解决方案中的密钥分配、用户认证、网络访问控制、云安全、传输层安全、无线网络安全、电子邮件安全和IP层安全等方面的重要协议或工业标准;第三部分为系统安全,主要介绍互联网系统中的恶意软件、人侵者和防火墙等方面内容。

以下图书与网络安全技术无关,所以不附图。

linux 类:

《linux 内核源码剖析》上/下

几乎把Linux开源的每一段代码,每一条函数都拿出来分析。所以分成两本比较厚的书。了解Linux内核源码,操作原理就选这个了。

《鸟哥的linux私房菜》

Linux安装到使用,搭建到指令。最最基础的Linux学习用书,本应放在第一位,但是上面那套实在太好了。

《linux内核完全注释》

《ram linux 内核源码剖析》

《linux内核设计与实现》

出版超过3年的经典书籍。从Linux内核进程,内核线程,调度,系统调用,中断和异常处理等方面概述了Linux内核的设计与实现原理。

《tcp/ip 详解》

描述了属于每一层的各个协议以及它们如何在不同操作系统中运行。作者用lawrence berkeley实验室的tcpdump程序来捕获不同操作系统和tcp/ip实现之间传输的不同分组。对tcpdump输出的研究可以帮助理解不同协议如何工作。

 

IT 思维:

《我的互联网方法论》

周鸿祎的龙头之作。他讲的方法其实就是他的产品理念,刚拿到的这本书的我是花一个下午一口气看完的~可见它内容的吸引力!

《增长黑客》

书名写着“黑客”讲的主题却是营销,用大数据说明如何利用“黑客”为自己增值。适合创业者看~

《德鲁克全书》

这本书本跟IT无关,但是里面的故事大多发生在互联网公司,并且适合创业者或者管理者阅读。一种把员工当成客户(上帝)的思维,层出不穷的管理体系理念。非常棒的管理思维。

《谷歌是如何运营的》

想运营好自己的公司或者部门,可以先从这里参考或者一下学习一下谷歌是怎么做的。

《乔布斯传》

乔布斯是我一直的偶像,真正的偶像。他的产品理念和创新思维绝对一流。不管是技术员,管理员,运维,CEO,都值得看看。

《腾讯传》

话说马化腾,道言张小龙。讲QQ,谈微信!

相关推荐:

《互联网+ 小米案例版》

《京东技术解密》

 

优质学习资源:

安全盒子:http://www.secbox.cn/

知乎周刊:http://zhuanlan.zhihu.com/

码农周刊:http://weekly.manong.io/

Pycoder's Weekly:http://pycoders.com/archive/

Hacker News:https://news.ycombinator.com/

Startup News:http://news.dbanotes.net/

极客头条:http://geek.csdn.net/

InfoQ:http://www.infoq.com/cn

Stack Overflow:http://stackoverflow.com/

GitHub:https://github.com/

FreeBuf:http://www.freebuf.com/

WooYun:http://drops.wooyun.org/

csdn博客:http://blog.csdn.net

博客园:http://www.cnblogs.com/

雷锋网:http://www.leiphone.com/

吾爱破解:http://www.52pojie.cn/

看雪论坛:http://bbs.pediy.com/

绿盟科技博客:http://blog.nsfocus.net/

E安全:http://www.easyaq.com/

360播报:http://bobao.360.cn/

游侠安全网 http://www.youxia.org

优质微信公众号:

secbox (安全盒子官方公众号,定期分享技术文章,干货)

EAQapp(E安全官方公众号,收集国内外一线资讯,翻译和原创技术文档)

Linux-cn(Linux中国网,Linux使用技巧,内核模块等与Linux有关的一些好文)

FreeBuf(国内外安全资讯,技术文章)

malwarebenchmark(各种apt样本分析,逆向工程实战!)

i77169(普及网络安全知识和发布资讯)

阿里聚安全(阿里移动安全部微信公众号)

腾讯玄武实验室(可能会推送一些玄武实验室的最新研究报告~新公众号,支持一下大教主)

301在路上(乌云首席铲屎官(不知道这样写三哥会不会打我= =)私人公众号,经常发表自己与网络安全的经验和言论)

云头条(国内外一线IT资讯)

youxia-org (国内外一线安全资讯和bugscan插件更新报道…)

heapstack_labs(国卫堆栈实验室公众号,每月开一期安全沙龙“安全说”每月主题都不一样,上个月主题“工控安全”)

anzer_sh(安在,信息安全媒体,主要采访信息安全大咖,传播信安热点)

sec-un(信息安全情报威胁)

lookvul(国内顶级黑客rayh4c个人公众号,主要推送情报威胁相关文章)

pojie_52(吾爱破解,不时推送详细逆向文章,样本分析,当然也有论坛的软广)

李宗洋一亩田(天融信VP李宗洋个人公众号,推送情报威胁和分享经验)

sex_91ri(91ri安全指南,最近好像没推出文章来,不过也是个很赞的公众号)

secpulse(一个很棒的新生信息安全团队,不时推送web安全文章)

oschina2013(开源中国,你懂的~)

droidsec(安卓中文网,mobile security~)

Security vulnerabilities platform(白帽子看这里~)

第三方漏洞平台:

 乌云     http://www.wooyun.org/  国内最棒的第三方漏洞平台,白帽子源地
补天漏洞响应平台      https://butian.360.cn/  自称是全球最大的漏洞平台,拥有上万名白帽子,对通用型漏洞奖金略高。

乌云众测       http://ce.wooyun.org/  中国众测哪家强..(wooyun club 黑板上写的)

漏洞盒子       https://www.vulbox.com/  freebuf创办

Sobug 众测平台       https://sobug.com/  冷焰创办

sebug漏洞库 https://www.sebug.net/  一家以收集poc或exp为奖励的平台,据说挺赞的、

比戈大牛 http://www.bigniu.com 新平台,以收购android bin漏洞为主,奖励很丰厚

阿里云盾先知计划 http://xianzhi.aliyun.com/ 看到的第一反应是。阿里也收别人的漏洞了= =不过只收通用漏洞 最高奖金50w

企业SRC:

网易安全中心       http://aq.163.com  (没刷过,不知道。看了商城,五块钱都可以换…)

腾讯安全应急响应中心       http://security.tencent.com/ (据说是全中国最好的SRC)

阿里巴巴安全应急响应中心       https://security.alibaba.com/ (有钱任性,平台负责人是个高颜值帅哥)

新浪安全应急响应中心       http://sec.sina.com.cn/  (渣浪据说不咋地,没刷过…)

百度安全中心       http://sec.baidu.com/  (奖励不是很高,作为bat却排在了最后)

京东安全应急响应中心       http://security.jd.com/ (奖励在步步提升了,并且和asrc一样有流动全国沙龙巡演)

360安全应急响应中心       http://security.360.cn/ (月排名奖金真的很吸引人!)

1号店安全应急响应中心       http://security.yhd.com/  (没刷过)

金山安全应急响应中心       http://sec.kingsoft.com/  (小气小气小气小气小气…)

携程安全应急响应中心       http://sec.ctrip.com/ (商城礼品略少正在逐步改善…)

去哪儿安全应急响应中心       http://security.qunar.com/ (没刷过…)

搜狗安全应急响应中心       http://sec.sogou.com/  (1安全币=1RMB)

小米安全中心       https://sec.xiaomi.com/ (奖金不多,也不算少,直接打钱的src)

联想安全应急响应中心       http://lsrc.lenovo.com/index.htm (奖金正在逐步提升,不时翻倍)

深信服安全响应中心       http://security.sangfor.com.cn (我也不知道这里什么鬼规则,直接发京东卡的)

魅族安全响应中心       http://sec.meizu.com/ (一币=10rmb,meizu pro5才280个币)

安全狗        http://security.safedog.cn (公告形式排名,运营比较温柔~)

迅雷       http://safe.xunlei.com (不了解…)

欢聚时代安全应急响应中心       http://security.yy.com (奖励略少…)

平安集团安全应急响应中心       http://security.pingan.com (直接以钱作为奖励方式,一个getshell大概4000块,积分比较狠。几十万来的)

唯品会安全应急响应中心       http://sec.vip.com/ (也算个良心src了,不过有个缺点就是,只以唯品卡为奖励方式,没满10的暂存。还挺不错。毕竟新生src)

苏宁安全应急响应中心  http://security.suning.com/ssrc-web/index.jsp (有个审核有点帅……………一个币=5rmb,商城目前未上线,不过快了。)

滴滴打车安全应急响应中心 http://sec.didichuxing.com/ (刚上线…排行榜都木有╯▂╰)

其实还有饿了么SRC(ESRC)还没有上线…

按照原风格附上手绘流程图

网络安全从业学习指南 V1.0-安全盒子

新手入门主要学习方向可以先从这张表找找

网络安全从业学习指南 V1.0-安全盒子

画的有点凌乱…

观众需求还是得要一张Linux相关流程图…

网络安全从业学习指南 V1.0-安全盒子

文章最后特别感谢一下k0sh1对此文章给予的支持和帮助 @我叫0day谁找我_