在上一篇文章中，小白簡單的介紹了網絡安全的發展歷程。尤其是防火墻等安全設備的興起，web應用安全逐漸成為了安全界的一塊大蛋糕。那么相比較傳統的計算機安全，web應用安全有哪些不同呢？
首先，大家請看下面的一張圖片：
傳統的計算機安全體系的建立依靠的是諸如防火墻，IPS（入侵防御系統），漏洞掃描系統、上網行為管理、殺毒軟件、UTM（威脅管理）等軟硬件的加固，在攻擊者的惡意網絡流量被計算機接收之前攔截掉。而這些都是依據已有的漏洞特征來識別的。
而現在，WEB2.0時代的繁榮，各種各樣的web應用如雨后春筍。每一個web應用都是一項不同的業務，出現的漏洞再也不是向傳統計算機漏洞那般已知的，更多的是業務上的漏洞，因此也無法通過傳統的安全設備進行完全的防護。對于現在的互聯網來說，Web應用安全是一個嚴峻的考驗，而且對于黑客來說，攻擊的難度低；而對于開發人員來說，防護難度大。
接下來，小白將通過八個點來對比傳統計算機安全和WEB應用安全的差異。
通用性
傳統的計算機安全是建立在操作系統本身或者使用較為廣泛的通用軟件上面的，有很強的一致性。而每一個WEB應用都相當與一個獨立的軟件，表現出獨特性。
開發者
存在計算機或者通用軟件漏洞的開發者都是具有高度專業技術的廠商人員，對安全有一定的意識。而相比之下WEB應用的開發者遂平參差不齊，絕大多數開發者對于安全的理解不足。
漏洞的檢測
傳統計算機安全的檢測一般是建立在漏洞已知、確定的基礎上，每一個確定的漏洞，攻擊方式都大同小異，安全設備很輕易的就能確定你的攻擊行為并進行必要的防護。而WEB應用安全的檢測則是基于當前業務的特點對可能存在的漏洞進行檢查，結果并不能確定，攻擊的方式也是千奇百怪。
漏洞的挖掘
對于傳統的計算機安全，攻擊者如果想要主動挖掘漏洞，就需要對計算機的結構、操作系統原理，硬件底層語言等具有很深的了解，難度非常大。而針對WEB漏洞的挖掘只需要攻擊者掌握一些基本的網站架構、腳本語言、數據庫知識就可以考試了，難度相對較低。
漏洞的修復
傳統的計算機漏洞需要由專業的廠商來提供修復的解決方案，而WEB應用漏洞WEB開發人員就可以自行修復。
攻擊的途徑
由于運營商和防火墻等安全設備的封鎖，多數的計算機服務端口并不會在公網上面出現，針對傳統的計算機的攻擊途徑較少。而WEB應用的業務特點導致了多數的WEB應用是在公網上開放的，容易遭到攻擊者的入侵。
攻擊特征
傳統的計算機攻擊行為具有數據級的攻擊特征，一般與正常的業務行為差異明顯，很容易被區分出來。而針對WEB應用的攻擊行為特征不明確，尤其是業務邏輯類的漏洞，在數據層面和正常的業務行為是沒有區別的。
防護難度
傳統的計算機漏洞防護起來相對較容易，僅需及時升級漏洞軟件版本或者更新最新的補丁包。而WEB應用漏洞的防護難度相對較大，漏洞修復后有可能再一次被攻擊者繞過。
那么，如何來學好WEB應用安全呢？小白覺得作為一個合格的黑客，以下知識是不可少的：
1了解網站基礎架構
2 了解HTML語言
3 了解javascript語言
4 了解數據庫
5 了解常見的服務器語言（PHP、ASP、JSP）
這里建議幾個學習的網站和書籍：
《白帽子講WEB安全》、《WEB安全深度剖析》
W3C學院：http://www.w3cschool.com.cn
I春秋學院：http://www.ichunqiu.com/
補天：http://loudong.360.cn
烏云漏洞庫（離線版）
Ps：喜歡的留個贊b(￣▽￣)d ~也可以關注專題：黑客師。
下一篇文章：小白客帶你走進黑客世界11之常見WEB應用漏洞介紹
