作者在书中提到了很多安全工具，例如安全编程接口，漏洞扫描工具，在线恶意网址黑名单等，我称这些为干货，整理一下，以备后用。
第二章-浏览器安全
PhishTank是互联网上免费提共恶意网址黑名单的组织之一，它的黑名单由世界各地的志愿者提供，更新频繁。
网址：https://www.phishtank.com/
Google也提供SafeBrowsingAPI，可以获取恶意网址库，但是在国内可能用不了。
网址：https://developers.google.com/safe-browsing/
第三章-跨站脚本安全（XSS）
xss共计平台，收集汇总很多不同功能的xss payload，可用于演示xss危害和方便渗透测试，当然也可以，你懂得。
Attack API
总结了很多能够直接使用的XSS payload，归纳为API方式。GitHub地址：https://github.com/appknox/attackapi
BeEF：
集成在metasploit框架的xss攻击平台，每个被XSS攻击的用户都将出现在后台，后台控制这可以控制这些浏览器的行为，并可以通过XSS向这些用户发送命令。
XSS-Proxy：
通过嵌套iframe的方式可以实时的远程控制被xss攻击的浏览器。
调适javascript
FireBug，常用的脚本调适工具
Fiddler，本地代理服务器，会监控所有的浏览器请求，并有能力在浏览器请求中插入数据。支持脚本编程。
HttpWatch，一个商业软件，以插件形式内嵌在浏览器中。能够监控所有的浏览器请求，但不能调试javascript。
输出检查：
输出检查是最直接的堵住xss漏洞的地方，OWASP ESAPI中有一个安全的JavaScriptEncode的实现，非常严格，地址是：https://www.owasp.org/index.php/Category:OWASP_Enterprise_Security_API#tab=Downloads
第七章-注入攻击
sqlmap可以自动化检测sql注入漏洞
第九章-认证与会话管理
OpenID是一个开放的单点登录系统
第十章-访问控制
OAuth是一个在不提供用户名和密码的情况下，授权第三方应用访问Web资源的安全协议。OpenID解决的是认证问题，OAuth则更注重授权。
第十一章-加密算法与随机数
Aircrack是一个与802.11标准的无线网络分析有关的安全软件，主要功能有：网络侦测，数据包嗅探，WEP和WPA/WPA2-PSK破解。地址是：https://www.aircrack-ng.org/
第十三章-应用层拒绝服务攻击
对抗SYN flood的主要措施有SYN Cookie/SYN Proxy、safereset等算法。SYN Cookie的主要思想是为每一个IP地址分配一个"Cookie"，并统计每个IP地址的访问频率。如果在短时间内收到大量的来自同一个IP地址的数据包，则认为受到攻击，之后每个来自这个地址的包将被丢弃。
实现变换IP地址：
代理猎手是一个常用的搜索代理服务器的工具。
AccessDiver已经自动化的实现了变换IP地址的攻击，它可以批量导入代理服务器地址，然后通过代理服务器在线暴力破解用户名和密码。
第十七章-安全开发流程(SDL)
代码安全审计工具
BOON、BugScam、Bugscan、CodeAssure等
web安全扫描工具
IBM AppScan、Web Inspect、w3af等
第十八章-安全运营
入侵检测
ModSecurity是Apache的一个Module，能获取到所有访问Apache Httpd Serve日的请求，并根据自己的规则对这些请求进行匹配，以检测哪些请求存在攻击行为。
PHPIDS是为PHP应用设计的一套入侵检测系统，它与应用代码的结合更为紧密，需要修改应用代码才能使用他。