凌晨三点，黑客我盯着屏幕上的攻防十六进制转储，额头上全是技术汗。那是宝典一个典型的SQL注入点，参数id老老实实地躺在URL里，战篇没有任何过滤。第版我输入了一个单引号，黑客页面返回500错误。攻防再输入`' or 技术1=1--`，整个用户表哗啦啦全出来了。宝典那一刻我意识到，战篇《黑客攻防技术宝典 web实战篇 第2版》里写的第版那些东西，真不是黑客纸上谈兵。

这本书开篇就把话说死了：Web应用安全的攻防核心问题，不是技术防火墙配没配好，不是服务器打没打补丁，而是你写的每一行代码都可能是一道敞开的门。它不讲虚的，直接拿真实漏洞说话——比如那个经典的购物车价格篡改案例。你把商品单价改成0.01，提交订单，系统居然照单全收。这书里管这叫"业务逻辑漏洞"，说白了就是开发时只想着功能实现，压根没想过有人会不按套路出牌。

我翻到第三章的时候，正赶上自己写的一个小论坛被挂马。攻击者利用的是一个看似无害的搜索框——把恶意脚本塞进搜索词，服务端没做输出编码，结果每个访问搜索页的用户浏览器都执行了那段脚本。书里把这类问题归为XSS，分了三类：反射型、存储型、DOM型。我那个属于存储型，最麻烦的那种。修复方法倒简单，对所有输出做HTML实体编码就行。可问题是，你得先知道有这回事。

说到CSRF，这书里的比喻挺有意思：它说你登录了银行网站，然后又去访问一个恶意页面，那个页面偷偷向银行网站发了个转账请求，因为浏览器会自动带上你的Cookie，银行服务器根本分不清这请求是你发的还是恶意页面发的。我看完这个，立刻去检查了自己写的后台删除功能——果然，用的是GET请求，而且没有token校验。要是有人把删除链接发给管理员，点一下，数据就没了。

书里关于认证和会话管理的章节，我前前后后读了三遍。它提到一个细节：很多人以为用HTTPS就安全了，但如果你把Session ID放在URL里，浏览器历史记录、Referer头、代理日志，到处都是泄露点。我自己就犯过这错，后来改成HttpOnly Cookie，才算松了口气。

后半部分讲渗透测试方法论，那些步骤我照着做过几轮——信息收集、漏洞扫描、手工验证、利用、提权。说实话，自动化工具扫出来的结果多半是噪音，真正有价值的发现全靠手动测。书里强调的一点我很认同：测试要带着目的去测，不是把所有Payload往目标上砸一遍就完事。你得先理解应用的业务逻辑，知道哪里藏着数据，哪里处理用户输入，然后才谈得上找漏洞。

这本书不是让你学完就能当黑客的。它更像一本病历集，把Web应用常见的病——注入、XSS、CSRF、文件上传漏洞、越权访问——一个个剖开给你看病因和病理。我读的时候经常后背发凉，因为里面好多案例，我写的代码里都犯过同样的错。修复建议也实在，不是空喊"加强安全意识"，而是给出具体的编码方案、框架配置和测试方法。

如果你跟我一样，写过Web应用，或者正在写，这书值得放在手边。不是为了攻击谁，而是为了不让自己写的东西成为别人练手的靶子。毕竟，这年头，谁还没个被脱库的时候呢。

(责任编辑：知识)