Web Security

Manual avanzado sobre seguridad en aplicaciones web escrito desde la óptica del hacker ético o "sombrero blanco" (White Hat). Hanqing Wu —fundador de la influyente comunidad ph4nt0m y referente de seguridad en Alibaba— y Liz Zhao exponen las dos caras de la seguridad informática: la mentalidad ofensiva del atacante y el rigor ingenieril del defensor. Está dirigido a desarrolladores de software web, ingenieros de seguridad, analistas de pruebas de penetración (pentesting) y arquitectos de software de nivel intermedio que dominen el protocolo HTTP, la programación frontend en JavaScript y el desarrollo backend con lenguajes como PHP o Java y bases de datos relacionales.

El temario abarca con profundidad técnica tanto el cliente como el servidor y las operaciones de seguridad a escala de Internet. En el lado del cliente, examina la política del mismo origen (Same-Origin Policy), sandboxing en navegadores, ataques de Cross-Site Scripting (XSS reflejado, almacenado y basado en DOM), gusanos XSS históricos, plataformas como BeEF y Attack API, Cross-Site Request Forgery (CSRF), Clickjacking y los riesgos introducidos por HTML5 (CORS, postMessage, WebStorage y WebSockets). En el lado del servidor, cubre inyecciones SQL y de comandos, vulnerabilidades de subida y ejecución de archivos arbitrarios, inclusión de ficheros locales y remotos (LFI/RFI) en PHP, gestión defectuosa de sesiones, DoS en capa de aplicación (como Slowloris) y endurecimiento de servidores web como Apache, Nginx y Tomcat. Por último, detalla el ciclo de vida de desarrollo seguro (SDL / Agile SDL) y la protección contra fraudes en la lógica de negocio.

La práctica del libro se apoya en el análisis forense de ataques emblemáticos, fragmentos de código vulnerable y el diseño de contramedidas bajo principios defensivos clave: seguridad por defecto, defensa en profundidad y separación estricta de código y datos. Aporta una sabiduría táctica y estratégica inusual, forjada en la defensa de infraestructuras que atienden a millones de usuarios diarios. Deja fuera tecnologías emergentes posteriores (como GraphQL o arquitecturas serverless modernas), por lo que conviene complementarlo con los estándares web actuales, pero sigue siendo un texto fundamental para comprender la raíz estructural de las fallas web más persistentes.