awesome-web-hacking

本列表面向所有希望学习 Web 应用安全但苦于没有入门途径的人。

你可以通过提交 Pull Request 来补充更多信息，以此提供帮助。

如果你不倾向于提交 PR，可以在 @infoslack 上给我发推文。

目录

• 书籍
• 文档
• 工具
• 速查表
• Docker
• 漏洞
• 课程
• 在线黑客演示站点
• 实验环境
• SSL
• Ruby on Rails 安全

书籍

• http://www.amazon.com/The-Web-Application-Hackers-Handbook/dp/8126533404/ 《The Web Application Hacker's Handbook: Finding and Exploiting Security Flaws》
• http://www.amazon.com/Hacking-Web-Apps-Preventing-Application/dp/159749951X/ 《Hacking Web Apps: Detecting and Preventing Web Application Security Problems》
• http://www.amazon.com/Hacking-Exposed-Web-Applications-Third/dp/0071740643/ 《Hacking Exposed Web Applications》
• http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ 《SQL Injection Attacks and Defense》
• http://www.amazon.com/Tangled-Web-Securing-Modern-Applications/dp/1593273886/ 《The Tangled WEB: A Guide to Securing Modern Web Applications》
• http://www.amazon.com/Web-Application-Obfuscation-Evasion-Filters/dp/1597496049/ 《Web Application Obfuscation: '-/WAFs..Evasion..Filters//alert(/Obfuscation/)-'》
• http://www.amazon.com/XSS-Attacks-Scripting-Exploits-Defense/dp/1597491543/ 《XSS Attacks: Cross Site Scripting Exploits and Defense》
• http://www.amazon.com/Browser-Hackers-Handbook-Wade-Alcorn/dp/1118662091/ 《The Browser Hacker's Handbook》
• http://www.amazon.com/Basics-Web-Hacking-Techniques-Attack/dp/0124166008/ 《The Basics of Web Hacking: Tools and Techniques to Attack the Web》
• http://www.amazon.com/Web-Penetration-Testing-Kali-Linux/dp/1782163166/ 《Web Penetration Testing with Kali Linux》
• http://www.amazon.com/Web-Application-Security-Beginners-Guide/dp/0071776168/ 《Web Application Security, A Beginner's Guide》
• https://www.amazon.com/Hacking-Art-Exploitation-Jon-Erickson/dp/1593271441/ 《Hacking: The Art of Exploitation》
• https://www.crypto101.io/ - 《Crypto 101》是一门密码学入门课程
• http://www.offensive-security.com/metasploit-unleashed/ - 《Metasploit Unleashed》
• http://www.cl.cam.ac.uk/~rja14/book.html - 《Security Engineering》
• https://www.feistyduck.com/library/openssl-cookbook/ - 《OpenSSL Cookbook》
• https://www.manning.com/books/real-world-cryptography - 学习并应用密码学技术。
• https://www.manning.com/books/making-sense-of-cyber-security - 一本关于网络安全关键概念、术语和技术的指南，非常适合任何正在规划或实施安全策略的人。
• https://www.manning.com/books/cyber-security-career-guide - 通过学习如何调整你现有的技术和非技术技能，开启网络安全职业生涯。
• https://www.manning.com/books/secret-key-cryptography - 一本关于密码学技术和密钥方法的书。
• https://www.manning.com/books/application-security-program-handbook - 这本实用书籍是实施稳健应用安全计划的一站式指南。
• https://www.manning.com/books/cyber-threat-hunting - 网络威胁狩猎实用指南。
• https://nostarch.com/bug-bounty-bootcamp - 《Bug Bounty Bootcamp》
• https://nostarch.com/hacking-apis - 《Hacking APIs》
• https://www.manning.com/books/grokking-web-application-security - 一本关于构建能够应对并抵御任何攻击的 Web 应用的书。

文档

• https://www.owasp.org/ - 开放 Web 应用安全项目（Open Web Application Security Project）
• http://www.pentest-standard.org/ - 渗透测试执行标准（Penetration Testing Execution Standard）
• http://www.binary-auditing.com/ - Dr. Thorsten Schneider 的二进制审计（Binary Auditing）
• https://appsecwiki.com/ - 应用安全 Wiki 是一项旨在为安全研究人员和开发人员集中提供所有应用安全相关资源的倡议。
• AppSec Santa - 对 129+ 款 Web 应用安全工具进行独立比较，涵盖 SAST、DAST、SCA 等。

工具

• https://github.com/bad-antics/nullsec-linux - NullSec Linux - 预配置了 Web 应用测试工具的安全发行版
• https://github.com/bad-antics/nullsec-webfuzz - NullSec WebFuzz - Web 应用模糊测试框架
• https://github.com/poszothebuilder/nextjs-security-headers-starter - 无依赖的 Next.js 安全响应头起始模板，包含 CSP、HSTS 以及用于 CI 的生产环境验证器。