一、 安全基础知识

互联网的组成：TCP/IP协议
广域网的构成：广域网-城域网-接入网-局域网

二、互联网的风险

网络通讯五元组：源IP、目的IP、源端口、目的端口、传输所用的协议
IP和port（相当于城堡和城门）
安全相关概念：基础运营商（联通电信移动）-骨干网-IDC（数据中心）-BGP协议（边际网关协议）-ABTN(阿里巴巴骨干网用于数据中心与公网连接)-路由器-交换机-防火墙-安全策略（规则）
TCP三次握手DDOS攻击原理：客户端与服务端建立连接需完整三次握手的过程，DDOS攻击目的是耗尽TCP资源，当第三次握手客户端不在发送ACK报文，服务器丢弃时间为1分钟，从而造成DDOS攻击

TOP N攻击详解
1、应用程序安全风险：威胁来源（人）-攻击向量（攻击）-安全弱点（弱点）-安全控制（控制）-技术影响（资产、功能）-业务影响（影响）；攻击向量+漏洞普遍性+漏洞可检测性平均数在乘以技术影响=承受风险的应用等级
2、基于OWASP风险等级排序方法的简单评级方案（威胁来源、攻击向量、漏洞普遍先、漏洞可检测性、技术影响、业务影响）

> 排行：
> 1、注入类安全风险：将不受信任的数据作为命令或查询的一部分发送到解析器时，会产生SQL注入、OS注入、LDAPA注入的注入缺陷。攻击者的恶意数据可以使解析器没有适当授权情况下执行非预期命令的访问数据
> 2、失效的身份认证 
> 3、敏感数据泄露：包括传输过程中的数据、存储的数据、浏览器的交互数据
> 4、XML外部实体（XXE） 
> 5、失效的访问控制 
> 6、安全配置错误 
> 7、跨站脚本（XSS） 
> 8、不安全的反序列化
> 9、使用含有一直漏洞的组件 10、不足的日志记录和监控