内容简介 · · · · · ·
《黑客大曝光:Web应用安全机密与解决方案(第2版)》凝聚了作者们超过30年的Web安全从业经验,详细剖析了Web应用的安全漏洞,攻击手法和对抗措施,一步步的教授如何防御邪恶的攻击,并协助读者理解黑客的思考过程。在网络技术和电子商务飞速发展的今天,Web应用安全面临着前所未有的挑战。
《黑客大曝光:Web应用安全机密与解决方案(第2版)》分为13章,书后带有附录和详细的英汉对照索引。《黑客大曝光:Web应用安全机密与解决方案(第2版)》是网络管理员、系统管理员的必备宝典,也是电子商务从业者、网络爱好者和企业管理者的参考书籍。
黑客大曝光的创作者
· · · · · ·
-
王炜 译者
作者简介 · · · · · ·
麦克卢尔,作为富有远见、广受赞誉的管理者,Stuar有20多年担任技术和管理要职的经历,在技术、运营和财务方面拥有丰富经验。加入迈克菲之前,他曾担任市值达1780亿美元医疗保健机构KaiserPermanent的安全服务执行总监在Kaiser期间,Stuart负责其所有全球服务职能,包括身份信息和访问管理、公司治理与法规遵从、安全架构、安全咨询、医疗保健服务提供安全以及产品开发/质量保障。Stuart全面而深入的安全产品知识赢得了广泛赞誉,他被认为是当今信息安全领域的权威之一。
Joel Scambray是提供战略安全咨询服务的Consciere公司的创始人和CEO。他的服务对象包括刚刚创建的小公司到财富50强成员公司,在应对信息安全挑战与机遇领域具有超过12年的经验。
George Kurtz,CISSP,CISA,CPA,在担任McAfee公司的...
麦克卢尔,作为富有远见、广受赞誉的管理者,Stuar有20多年担任技术和管理要职的经历,在技术、运营和财务方面拥有丰富经验。加入迈克菲之前,他曾担任市值达1780亿美元医疗保健机构KaiserPermanent的安全服务执行总监在Kaiser期间,Stuart负责其所有全球服务职能,包括身份信息和访问管理、公司治理与法规遵从、安全架构、安全咨询、医疗保健服务提供安全以及产品开发/质量保障。Stuart全面而深入的安全产品知识赢得了广泛赞誉,他被认为是当今信息安全领域的权威之一。
Joel Scambray是提供战略安全咨询服务的Consciere公司的创始人和CEO。他的服务对象包括刚刚创建的小公司到财富50强成员公司,在应对信息安全挑战与机遇领域具有超过12年的经验。
George Kurtz,CISSP,CISA,CPA,在担任McAfee公司的风险及法规遵从部的资深副总裁和总经理之前,George Kurtz是Foundstone公司的CEO。Kurtz在安全领域有超过16年的工作经验并且帮助数以百计的组织和政府机构解决了无数高难度的安全问题。
作为一名国际公认的信息安全专家、专著作者和企业家,George经常在该领域的各年会上发表演讲,他的言论经常出现在众多顶级刊物和公共媒体上,其中包括CNN电视台、Fox News(福克斯新闻)。
目录 · · · · · ·
1.1 什么是Web应用攻击
1.1.1 GUI Web攻击
1.1.2 URI攻击
1.1.3 请求方法、请求头和数据体
1.1.4 资源
· · · · · · (更多)
1.1 什么是Web应用攻击
1.1.1 GUI Web攻击
1.1.2 URI攻击
1.1.3 请求方法、请求头和数据体
1.1.4 资源
1.1.5 认证,会话和授权
1.1.6 Web客户端和HTML
1.1.7 其他协议
1.2 为什么攻击Web应用
1.3 何人、何时、何地攻击Web应用
1.3.1 安全薄弱点
1.4 如何攻击Web应用程序
1.4.1 Web浏览器
1.4.2 浏览器扩展
1.4.3 HTTP代理
1.4.4 命令行工具
1.4.5 一些老工具
1.5 小结
1.6 参考和进一步阅读
第2章 剖析
2.1 架构剖析
2.1.1 踩点和扫描:定义范围
2.1.2 Banner抓取
2.1.3 高级HTTP指纹
2.1.4 中间件架构
2.2 应用剖析
2.2.1 手工检测
2.2.2 使用搜索工具进行剖析
2.2.3 自动Web爬行工具
2.2.4 常见Web应用剖析
2.3 常用对抗措施
2.3.1 一条警示
2.3.2 保护目录
2.3.3 保护包含文件
2.3.4 一些其他技巧
2.4 小结
2.5 参考和进一步阅读
第3章 攻击Web平台
3.1 使用Metasploit进行点击式的漏洞利用
3.2 手工漏洞利用
3.3 检测绕过技术
3.4 Web平台安全最佳实践
3.4.1 通用最佳实践
3.4.2 IIS加固
3.4.3 加固Apache
3.4.4 PHP最佳实践
3.5 小结
3.6 参考和进一步阅读
第4章 攻击Web认证
4.1 认证威胁
4.1.1 用户名/密码威胁
4.1.2 更强的Web认证
4.1.3 Web认证服务
4.2 绕过认证
4.2.1 令牌重放
4.2.2 身份管理
4.2.3 利用客户端
4.2.4 最后一些思考:身份窃取
4.3 小结
4.4 参考和进一步阅读
第5章 攻击Web授权
5.1 授权实现的指纹识别
5.1.1 爬行ACL
5.1.2 识别访问/会话令牌
5.1.3 分析会话令牌
5.1.4 差异分析
5.1.5 角色矩阵
5.2 攻击ACL
5.3 攻击令牌
5.3.1 手动预测
5.3.2 自动预测
5.3.3 捕获/重放
5.3.4 会话定置
5.4 授权攻击案例分析
5.4.1 水平权限提升
5.4.2 垂直权限提升
5.4.3 差异分析
5.4.4 使用Curl映射许可
5.5 授权最佳实践
5.5.1 Web ACL最佳实践
5.5.2 Web授权/会话令牌安全
5.5.3 安全日志
5.6 小结
5.7 参考和进一步阅读
第6章 输入验证攻击
6.1 预料意外的情况
6.2 在哪里寻找攻击载体
6.3 绕过客户端验证
6.4 常见的输入验证攻击
6.4.1 缓冲区溢出
6.4.2 转义攻击
6.4.3 脚本攻击
6.4.4 边界检查
6.4.5 操纵应用程序行为
6.4.6 SQL注入和数据存储攻击
6.4.7 执行命令
6.4.8 编码滥用
6.4.9 PHP全局变量
6.4.10 常见的后果
6.5 小结
6.6 参考和进一步阅读
第7章 攻击Web数据存储
7.1 SQL入门
7.1.1 语法
7.1.2 SELECT,INSERT和UPDATE
7.2 发现SQL注入
7.2.1 语法和错误
7.2.2 语义和行为
7.2.3 替换字符编码
7.3 利用SQL注入漏洞
7.3.1 改变流程
7.3.2 查询替换数据
7.3.3 平台
7.4 其他数据存储攻击
7.4.1 输入验证
7.4.2 把查询数据从查询逻辑分离出来
7.4.3 数据库加密
7.4.4 数据库配置
7.5 小结
第8章 攻击XML Web服务
8.1 什么是Web服务
8.1.1 传输:HTTP(S)上的SOAP
8.1.2 WSDL
8.1.3 目录服务:UDDI和DISCO
8.1.4 与Web应用程序安全的相似性
8.2 攻击Web服务
8.3 Web服务安全基础
8.3.1 Web服务安全措施
8.4 小结
8.5 参考和进一步阅读
第9章 攻击Web应用管理
9.1 远程服务器管理
9.1.1 Telnet
9.1.2 SSH
9.1.3 私有的管理端口
9.1.4 其他管理服务
9.2 Web内容管理
9.2.1 FTP
9.2.2 SSH/scp
9.2.3 FrontPage
9.2.4 WebDAV
9.3 管理员错误配置
9.3.1 不必要的Web服务器扩展
9.3.2 信息泄漏
9.4 开发者造成的错误
9.5 小结
9.6 参考和进一步阅读
第10章 攻击Web客户端
10.1 漏洞利用
10.2 欺骗
10.3 通用对抗措施
10.3.1 IE安全区域
10.3.2 Firefox安全设置
10.3.3 低权限浏览
10.3.4 服务端的对抗措施
10.4 小结
10.5 参考和进一步阅读
第11章 拒绝服务(Denial of Service)攻击
11.1 常见的DoS攻击技术
11.1.1 传统的DoS攻击:利用漏洞
11.1.2 现代DoS攻击:能力损耗
11.1.3 应用层的DoS攻击
11.2 常见的DoS对抗措施
11.2.1 主动DoS防御
11.2.2 DoS测试(DoS Testing)
11.2.3 应对DoS攻击
11.3 总结
11.4 参考和进一步阅读
第12章 充分认知分析(Full-Knowledge Analysis)
12.1 威胁建模
12.1.1 理清安全对象
12.1.2 识别资产
12.1.3 架构概述
12.1.4 分解应用程序
12.1.5 识别威胁并用文档描述它们
12.1.6 对威胁排序
12.1.7 开发威胁减缓策略
12.2 代码评审
12.2.1 手动源代码评审
12.2.2 自动源代码评审
12.2.3 二进制分析
12.3 应用程序代码的安全测试
12.3.1 模糊测试
12.3.2 测试工具、程序和用具
12.4 在Web开发流程中的安全
12.4.1 人员
12.4.2 流程
12.4.3 技术
12.5 小结
12.6 参考和进一步阅读
第13章 Web应用安全扫描器
13.1 技术:Web应用安全扫描器
13.1.1 测试平台
13.1.2 测试
13.1.3 单个扫描器评审
13.1.4 整体测试结果
13.2 非技术问题
13.2.1 流程
13.2.2 人员
13.3 小结
13.4 参考和进一步阅读
附录A Web应用程序的安全检查列表
附录B Web攻击工具和攻击技术清单
附录C URLScan和ModSecurity
附录D 关于本书的配套网站
索引
· · · · · · (收起)
喜欢读"黑客大曝光"的人也喜欢的电子书 · · · · · ·
喜欢读"黑客大曝光"的人也喜欢 · · · · · ·
-
- 松本行弘的程序世界 8.3
-
- 深入理解计算机系统 9.5
-
- 黑客攻防技术宝典 8.4
-
- TCP/IP详解 卷1:协议 9.2
-
- 编程人生 8.4
-
- 加密与解密 8.4
-
- 入侵的艺术 7.7
-
- 高性能网站建设指南 8.5
-
- Web前端黑客技术揭秘 7.5
-
- 软件架构师应该知道的97件事 7.4
黑客大曝光的书评 · · · · · · ( 全部 3 条 )
![](https://img3.doubanio.com/icon/u1293548-3.jpg)
> 更多书评 3篇
论坛 · · · · · ·
在这本书的论坛里发言这本书的其他版本 · · · · · · ( 全部5 )
-
清华大学出版社 (2010)7.7分 62人读过
-
McGraw-Hill Osborne Media (2009)暂无评分 5人读过
-
清华大学出版社 (2013)8.3分 44人读过
-
清华大学出版社 (2006)7.8分 55人读过
在哪儿借这本书 · · · · · ·
以下书单推荐 · · · · · · ( 全部 )
谁读这本书? · · · · · ·
二手市场
· · · · · ·
- 在豆瓣转让 有39人想读,手里有一本闲着?
订阅关于黑客大曝光的评论:
feed: rss 2.0
0 有用 中世纪福音工人 2012-02-01 12:50:41
还不错的书
0 有用 Alvin 2009-10-14 22:41:24
看完了, 大公司也出底级BUG
0 有用 中世纪福音工人 2012-02-01 12:50:41
还不错的书
0 有用 Alvin 2009-10-14 22:41:24
看完了, 大公司也出底级BUG