• "Календарь тестировщика". Протестируй безопасность
• Список книг по наступательной информационной безопасности
• Что такое XSS-уязвимость и как тестировщику не пропустить её
• Penetration Testing Execution Standard (PTES). Подробный методический гайд по тестированию на проникновение.
• OWASP Testing Guide
• Как заблокировать IP адреса через ufw

Финтех

• Что такое PCI DSS и как происходит проверка на соответствие стандарту? О стандарте безопасности данных индустрии платежных карт.
• Информационная безопасность банковских безналичных платежей. Часть 1 — Экономические основы
• Информационная безопасность банковских безналичных платежей. Часть 2 — Типовая IT-инфраструктура банка

• OWASP Zed Attack Proxy Project — веб-сканер уязвимостей (free, )
• Fiddler — дебаггер трафика (условно-бесплатный, )

• https://root-me.org/en/Challenges/. Требует регистрации, для авторизации нужен confirmation.
• http://xss-game.appspot.com/ — XSS game area. Без регистрации и смс.

Cookie-based authentication, обычный сценарий:

1. клиент отправляет на host.com/login имя и пароль
2. сервер создаёт сессию и SESSIONID
3. сервер проверяет валидность имени и пароля
4. если всё хорошо, записывает в сессию признак, что клиент аутентифицировался
5. отправляет клиенту результат и сессионную куку (SESSIONID)
6. клиент в следующем значимом запросе отправляет эту куку
7. сервер поднимает сессию по куке и проверяет есть ли в ней признак аутентификации, то есть отправлял ли клиент валидные аутентификационные данные
8. если всё ок, то запрос выполняется

Token-based authentication (JSON Web-Tokens, OAuth, OpenID):

1. на метод логина отправляем данные (по сути это не логин, а создание нового токена, POST /tokens, если удобно).
2. проверяем логин-пароль, если все ок — отдаем сущность нового токена, которым затем Клиент подписывает каждый запрос.
3. при последующих запросах просто проверяем наличие переданного токена в HEADERе запроса токена, достаём из токена идентификатор пользователя.
   это не ломает stateless, токен такая же сущность, что и статья и другие, и если они не найдены — возвращаем ошибку, либо работаем с ними, если все ок.
4. чтобы сделать логаут — DELETE /tokens/{token}

Cookie sessionid представляет из себя строку, определяемую логикой сервера, в то время как token генерируется согласно стандарту.
Сервер может делиться токенами с третьей стороной (third party applications)