从“黑掉Github”学Web安全开发
Egor Homakov（Twitter: @homakov 个人网站: EgorHomakov.com）是一个Web安全的布道士，他这两天把github给黑了，并给github报了5个安全方面的bug，他在他的这篇blog——《How I hacked Github again》（墙）说明了这5个安全bug以及他把github黑掉的思路。Egor的这篇文章讲得比较简单，很多地方一笔带过，所以，我在这里用我的语言给大家阐述一下黑掉Github的思路以及原文中所提到的那5个bug。希望这篇文章能让从事Web开发的同学们警惕。关于Web开发中的安全事项，大家可以看看这篇文章《Web开发中的你需要了解的东西》
目录
OAuth简介
OAuth的Callback
第一个Bug — 没有检查重定向URL中的/../
第二个BUG — 没有校验token
第三个BUG — 注入跨站图片
像程序员一样的思考
第四个bug – Gist把github_token放在了cookie里 ...
