---------------------------------------------------------

前言：

        這本書新出的，目前只有英文版，雖說英語能看懂幾個單詞，但是真看起來英文手冊，還挺費時間的。跟幾個老哥不謀而合，準備一起翻譯一下，說翻譯好聽，只不過是用些翻譯器，然後在校對下，看似輕鬆，整理簡單的一小節發現也挺麻煩的，語句要通順，排版也要賞心悅目。但讀幾遍下來，到時內容記住了，挺不錯的一個工作，今天先把目錄分享一下，滿足一下各位老友的胃口，然後後續將翻譯的內容一章一章的釋出出來。

        也算是為安全圈的老哥們奉獻一份小力量了。結尾會有原版pdf的連線，可以自行儲存。

----------------------------------------------------------

1.配置Kali Linux和搭建實驗環境

介紹

在Windows和Linux上安裝VirtualBox

建立一個Kali Linux虛擬機器

更新和升級Kali Linux

為滲透測試配置web瀏覽器

建立客戶端虛擬機器

為正確的通訊配置虛擬機器

瞭解易受攻擊的虛擬機器上的web應用程式

2.偵察

介紹

被動偵察

使用Recon-ng收集資訊

使用Nmap掃描和標識服務

標識web應用程式防火牆

確定HTTPS加密引數

使用瀏覽器的開發工具分析和更改基本行為

獲取和修改cookie

利用robots.txt

3.使用代理、爬行器和爬蟲

介紹

用DirBuster找到檔案和資料夾

使用ZAP查詢檔案和資料夾

使用Burp套件檢視和修改請求

使用Burp套件的Intruder模組來查詢檔案和資料夾

使用ZAP代理檢視和修改請求

使用ZAP爬蟲

使用Burp套件爬蟲一個網站

使用Burp套件的中繼器重複請求

使用WebScarab

從爬行結果中識別相關檔案和目錄

4.測試身份驗證和會話管理

介紹

使用者名稱列舉

使用Burp 和字典攻擊登入頁面

使用Hydra強制執行基本身份驗證

用Metasploit攻擊Tomcat的密碼

手動識別cookie中的漏洞

攻擊會話固定漏洞

使用Burp的Sequencer模組評估會話識別符號的安全

濫用不安全的直接物件引用

執行跨站點請求偽造攻擊

5.跨站點指令碼編寫和客戶端攻擊

介紹

使用瀏覽器繞過客戶端控制元件

識別跨站點指令碼編制漏洞

通過XSS獲取會話cookie

利用DOM XSS

用XSS和BeEF實現瀏覽器中間者攻擊

從web儲存中提取資訊

使用ZAP測試WebSockets

使用XSS和Metasploit獲得遠端shell

6.利用注入漏洞

介紹

尋找檔案包含

濫用檔案包含和上傳

手動識別SQL注入

逐步的基於錯誤的SQL注入

識別和利用盲SQL注入

使用SQLMap查詢和利用SQL注入

利用XML外部實體注入

檢測和利用命令注入漏洞

7.利用平臺的漏洞

介紹

使用資料庫開發心臟出血漏洞

通過使用Shellshock執行命令

使用Metasploit建立和捕獲一個反向shell

Linux上的許可權升級

Windows上的特權升級

使用Tomcat管理器執行程式碼

使用John the Ropper配合字典攻擊密碼雜湊

使用Hashcat蠻力破解密碼雜湊

8.使用自動掃描器

介紹

掃描與Nikto

自動掃描時的注意事項

尋找Wapiti的漏洞

使用OWASP ZAP掃描漏洞

掃描與Skipfish

用WPScan軟體在WordPress中尋找漏洞

使用JoomScan尋找Joomla中的漏洞

用CMSmap掃描Drupal

9.繞過基本的安全控制

介紹

跨站點指令碼攻擊中的基本輸入驗證繞過

使用模糊程式碼開發跨站點指令碼

繞過檔案上傳限制

避免web服務中的CORS限制

使用跨站點指令碼繞過CSRF保護和CORS限制

利用HTTP引數汙染

利用漏洞通過HTTP頭

10.緩解OWASP top10 漏洞

介紹

A1 & # x2013;防止注入攻擊

A2 & # x2013;建立適當的身份驗證和會話管理

A3 & # x2013;保護敏感資料

A4 & # x2013;安全地使用XML外部實體

A5 & # x2013;安全訪問控制

A6 & # x2013;基本安全配置指南

A7 & # x2013;防止跨站點指令碼編制

A8 & # x2013;實現物件序列化和反序列化;在哪裡查詢第三方元件的已知漏洞

A10 & # x2013;web應用程式安全性的日誌和監視

---------------------------------

原版連線（自行儲存，如果失效請聯絡我）：

https://pan.baidu.com/s/1T90R9G4p1oEwBMLf5gNYLg

提取碼：fqej

想要實時接收一手學習筆記，可以關注我的公眾號哦，慢慢會發很多東西哦 ~