本文目录一览：
- 1、渗透入门该看什么书和杂志？
- 2、怎样才能成为一名白帽子，挖掘漏洞需要哪些方面的知识，要看哪些书，紧紧学挖漏洞而已，望大神指导，有收
- 3、想问问想做一个网络安全工程师，什么都不懂，需要学习那些知识，看哪些书，我自学。
- 4、求WEB安全方面的书籍，包含SQL注入，各种脚本漏洞检测，Ajax安全问题及XSS的利用！
- 5、如何测试XSS漏洞
渗透入门该看什么书和杂志？
看了两本风格和内容都比较类似的书《meteaploit渗透测试手册》和《metasploit渗透测试与开发实践指南》这两本书也都是从按照一般的渗透测试流程来进行内容的编排，从信息收集到Nmap主机和端口扫描、nessus漏洞扫描，msfconsole里常见辅助模块和攻击载荷的介绍和利用，到最后获得目标主机的meterpreter会话，meterpreter的基本命令和高级使用技巧，创建后门文件，对后门文件进行编码，metasploit中攻击载荷代码的分析和编写等等。虽然对攻击技术都没有较深入的研究和分析，但是对于刚刚接触渗透测试的人而言，可以快速的在脑中打下一个渗透测试基本的框架，而不是盲目的扫描、注入。
怎样才能成为一名白帽子，挖掘漏洞需要哪些方面的知识，要看哪些书，紧紧学挖漏洞而已，望大神指导，有收
挖漏洞也分方向。
有web，操作系统(pc端，手机端)，还有逆向破解反病毒等等方向。
搞web，你可以自己去搭建一个网站，在此过程中，计算机网络，html,css,javascript,php数据库,等等，php代码审计啊，SQL注入啊，xss啊，还要适当接触linux，这一路学习过来，再看案例，再研究，再学习。
操作系统
这个太NB了，根基就是C和汇编，内核也要玩的溜啊，搞安卓应该还有linux吧，这个很耗心血呀。
逆向反病毒
还是C和汇编，这两个要玩的溜，还有windows的API，PE结构，哦，还要学习操作系统等等课程（密码学）还有主流的几款工具，IDA，ollydbg，等等反汇编工具。。。
想问问想做一个网络安全工程师，什么都不懂，需要学习那些知识，看哪些书，我自学。
需要学的内容分成5大部分：
1、网络安全产品：防火墙、路由、交换、网闸、IPS、IDS、VPN、SSL、DLP等；
2、系统及协议：TCP/IP协议、linux、Windows、Android、ios等；
3、编程语言：Python、Java、PHP、shell、Javascript、C/C++,会2-3种；MY
4、数据库：mysql、oracle、sql server、DB2等；
5、攻防技术：漏洞挖掘、渗透测试、加密解密、代码审计、DDOS、SQL注入、XSS、AppScan、nessus、sqlmap、burpsuite等；
总之内容很多，范围很广，可以先从一个方向切入，后期逐步在扩展。
当然，行业内的一些认证也可以考考，有些证书的含金量还是可以的。
求WEB安全方面的书籍，包含SQL注入，各种脚本漏洞检测，Ajax安全问题及XSS的利用！
没有，但是有一个guide，叫OWASP的东西，你可以搜搜，讲的是现今开发中需要注意的十大安全问题，官网有中文版本，你可以拿下来看看
如何测试XSS漏洞
XSS跨站漏洞分为大致三种：储存型XSS，反射型XSS，和DOM型XSS，一般都是由于网站对用户输入的参数过滤不严格而调用浏览器的JS而产生的。XSS几乎每个网站都存在，google，百度，360等都存在，存在和危害范围广，危害安全性大。
具体利用的话：
储存型XSS，一般是构造一个比如说"scriptalert("XSS")/script"的JS的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。
反射型XSS，一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="scriptalert("xss")/script，也是弹窗JS代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。
dom型：常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。
缺点：
1、耗时间
2、有一定几率不成功
3、没有相应的软件来完成自动化攻击
4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.0等语言的功底
5、是一种被动的攻击手法
6、对website有http-only、crossdomian.xml没有用
所以楼主如果想更加深层次的学习XSS的话，最好有扎实的前后端开发基础，还要学会代码审计等等。
推荐的话，书籍建议看看《白帽子讲web安全》，《XSS跨站脚本攻击剖析与防御》
一般配合的话，kalilinux里面的BEFF是个很著名的XSS漏洞利用工具，楼主有兴趣可以去看看。
纯手工打字，望楼主采纳。
