本文目录一览：
xss攻击h和ddos攻击的区别
XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量 *** 程序通讯， *** 程序已经被安装在 *** 上的许多计算机上。 *** 程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次 *** 程序的运行。
*** 工程师基础书籍推荐几本
回答：追忆☆梦
大师
5月13日 09:04 *** 工程师是通过学习和训练，掌握 *** 技术的理论知识和操作技能的 *** 技术人员。 *** 工程师能够从事计算机信息系统的设计、建设、运行和维护工作。
和软件工程师是不一样的。
*** 工程师的就业范围相当宽广，几乎所有的IT企业都需要 *** 工程师帮助用户设计和建设计算机信息系统；几乎所有拥有计算机信息系统的IT客户都需要 *** 工程师负责运行和维护工作。因此， *** 工程师的就业机会比软件工程师多，可在数据库管理、WEB开发、IT销售、互联网程序设计、数据库应用、 *** 开发和客户支持等领域发展。而且，薪酬待遇也不错，统计数据显示， *** 技术人员平均月薪约2000～3000元，高的则在5000元以上。
全国 *** 工程师技术水平认证考试（NCNE）
国家信息化工程师认证考试——
国家 *** 技术水平认证考试及培训报名信息
中国信息产业部为推动和引导 *** 人才培训，测评 *** 从业人员的专业技术水平，为信息化建设和信息产业发展提供更多的合格人才，信息产业部全国信息化工程师认证考试管理中心于2002年，通过与知名的国际信息技术与信息人才专业测评机构——美国国家通信系统工程师协会，联合认证，共同推出国家 *** 技术水平考试（The National
Certification of Network Engineer，简称NCNE）。
该认证考试及培训实践性强、内容新，与国际最新 *** 技术衔接紧密，实验操作部分设计合理，注重理论与实践的高度结合。
现2005年认证考试与培训报名工作已开始，请踊跃报名，积极参加。考生通过考试，可同时获得信息产业部全国信息化工程师认证考试管理中心颁发的相应级别证书和美国国家通信系统工程师协会的认证证书，成为国内外认可的 *** 技术专业人员，并被加入到国家信息化人才数据库、国际通信系统工程师协会人才库以及中国西安人才网IT人才库。该证书可作为学员出国留学以及奖学金申请的有效证件。
该认证考试为目前我国公开推行的 *** 技术水平认证体系，创立了我国自主认证品牌。
一、报考及培训类别：
1. NCNE一级认证；
2. NCNE二级认证。
二、报名及考试办法：
根据05年度考试安排，采取常年报名、定期培训、统一考试、集中颁证。单位集体和个人自愿报名均可。
国家 *** 技术工程师水平认证考试内容及安排
一
级
认
证 使学员具备设计、实现、维护和管理各种常用小型局域网的技能，并了解相关的初步理论知识。• *** 基础知识
• *** 布线
•OSI参考模型与 *** 协议
• *** 互连设备
•局域网技术
•IP地址的划分与配置
•Windows98操作系统的安装、配置与管理
•Linux操作系统的安装、配置与管理
•在不同操作系统平台（Win98/WinNT/Linux）上实现文件服务与打印服务
•基于不同操作系统平台（Win98/WinNT/Linux）的 *** 接入方案
•其它典型 *** 操作系统的介绍及其同Windows *** 的互连
• *** 安全简介•安装和维护各种常用小型局域网的物理设备；
•配置各种常用小型局域网的TCP/IP参数；
•配置和维护各种常用小型局域网的文件服务器和打印服务器；
•配置PC机和各种常用小型局域网连接到Internrt；
•保证各种常用小型局域网正常运行。
二
级
认
证 使学员具备配置、管理和维护多种常用的、多平台的、包含广域网连接的且功能完善的小型企业网的技能和相关理论知识•通信基础知识
•以太局域网的帧结构与工作原理
•网桥、交换机的原理与使用
•虚拟局域网（VLAN）
•令牌环与FDDI
•ATM ***
•TCP/IP协议与应用服务的实现
•路由器原理与路由协议
•广域网技术
• *** 安全
• *** 监视、管理与排错•安装、配置和维护DHCP服务器、DNS服务器、FTP服务器和WWW服务器
•按照 *** 管理的需求划分IP子网
•管理和维护多种常见的广域网连接
•安装、配置和维护小型防火墙软件
•监视 *** 运行并能排除简单故障
•保证各种常用小型企业网的正常运行。
1、 *** 工程考试共分五个等级,即 *** 管理员、助理 *** 工程师、 *** 工程师、高级 *** 工程师和高级 *** 专家。
2、 *** 工程师课程有计算机与 *** 技术、windows系统管理、数据库基础管理、计算机病毒防治、Linux基础、构造大型企业 *** 、Windows *** 服务管理、Linux *** 服务管理、企业邮件系统解决方案、数据库管理、 *** 安全及解决方案等
Web安全书籍可推荐？
重点推荐以下几本书籍
《Web安全深度剖析》
《黑客攻防技术宝典—Web实战篇》
《Web前端黑客技术揭秘》
《Web应用安全威胁与防治》
《Web之困：现代Web应用安全指南》
《XSS跨站脚本攻击剖析与防御》
《Web应用安全权威指南》
兴趣是更好的老师，在兴趣的引导下，可以在Web安全的道路上越走越远。
如何测试XSS漏洞
XSS跨站漏洞分为大致三种：储存型XSS，反射型XSS，和DOM型XSS，一般都是由于网站对用户输入的参数过滤不严格而调用浏览器的 *** 而产生的。XSS几乎每个网站都存在，google，百度，360等都存在，存在和危害范围广，危害安全性大。
具体利用的话：
储存型XSS，一般是构造一个比如说"scriptalert("XSS")/script"的 *** 的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。
反射型XSS，一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="scriptalert("xss")/script，也是弹窗 *** 代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。
dom型：常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。
缺点：
1、耗时间
2、有一定几率不成功
3、没有相应的软件来完成自动化攻击
4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.0等语言的功底
5、是一种被动的攻击手法
6、对website有http-only、crossdomian.xml没有用
所以楼主如果想更加深层次的学习XSS的话，更好有扎实的前后端开发基础，还要学会代码审计等等。
推荐的话，书籍建议看看《白帽子讲web安全》，《XSS跨站脚本攻击剖析与防御》
一般配合的话，kalilinux里面的BEFF是个很著名的XSS漏洞利用工具，楼主有兴趣可以去看看。
纯手工打字，望楼主采纳。
我想学渗透测试，刚开始该看什么书呢？或者该怎么做？介绍一下！
这个要根据个人的实际情况来决定的，比如你先要去了解什么是渗透测试：
1、渗透测试属于信息安全行业，准确的说是 *** 计算机/IT行业
2、现在你知道了它的行业属性，那么你是否具备一些这个行业的知识呢?
3、具备的话学习起来比较简单，直接去学习渗透测试实战就行，不具备接着往下看
4、现在知道它行业属性，你大概就能清楚需要些什么样的基础知识了；下面是我从非计算机 *** 相关专业的同学想要学习渗透测试必须掌握的知识。
5、前期入门大概需要掌握或者说了解以下知识点：
1)了解基本的 *** 知识，例如什么是IP地址（63.62.61.123）去掉点是 *** 学习群，IP地址的基本概念、IP段划分、什么是A段、B段、C段等2）广域网、局域网、相关概念和IP地址划分范围。
3)端口的基本概念？端口的分类？
4)域名的基本概念、什么是URL、了解TCP/IP协议、
5)了解开放式通信系统互联参考模型（OSI）
6)了解http（超文本传输协议）协议概念、工作原理
7)了解WEB的静态页面和WEB动态页面，B/S和C/S结构
8)了解常见的服务器、例如、Windows server2003、Linux、UNIX等
9)了解常见的数据库、MySQL、Mssql、、Access、Oracle、db2等
10)了解基本的 *** 架构、例如：Linux + Apache + MySQL + php
11)了解基本的Html语言，就是打开网页后,在查看源码里面的Html语言
12)了解一种基本的脚本语言、例如PHP或者asp，jsp，cgi等
然后你想学习入门，需要学习以下最基础的知识：
1、开始入门学习路线
1)深入学习一种数据库语言，建议从MySQL数据库或者SQL Server数据库、简单易学且学会了。
其他数据库都差不多会了。
2)开始学习 *** 安全漏洞知识、SQL注入、XSS跨站脚本漏洞、CSRF、解析漏洞、上传漏洞、命令执行、弱口令、万能密码、文件包含漏洞、本地溢出、远程溢出漏洞等等
)工具使用的学习、御剑、明小子、啊D、穿山甲（Pangolin）、Sqlmap、burpsuite抓包工具等等
2、Google hacker 语法学习
3、漏洞利用学习、SQL注入、XSS、上传、解析漏洞等
4、漏洞挖掘学习
5、想成为大牛的话、以上都是皮毛中的皮毛，但前提是以上的皮毛都是最基础的。
6、Linux系统命令学习、kali Linux 里面的工具学习、Metesploit学习
7、你也可以找一些 *** 群去和大佬交流，比如上面的IP去掉点就是，里面有很多的教程。
8、没事多逛逛安全论坛、看看技术大牛的文章、漏洞分析文章等
10、提升自己的专业能力、把自己练成一个技术大牛、能给你带来一份稳定的高薪水工作，同时你还可利用自己的技术，额外的接些单子，做做副业，这个行业里是有很多单子可以接的。