黑客大曝光：Web應(yīng)用安全機密與解決方案（第2版）

定　價：￥65.00

作　者：	（美）斯卡姆布雷，（美）施瑪，（美）西瑪著，王煒，文苗，羅代升譯
出版社：	電子工業(yè)出版社
叢編項：	安全技術(shù)大系
標(biāo)　簽：	信息安全

購買這本書可以去

ISBN：	9787121066696	出版時間：	2008-06-01	包裝：	平裝
開本：	16開	頁數(shù)：	462	字?jǐn)?shù)：

內(nèi)容簡介

　　在網(wǎng)絡(luò)技術(shù)和電子商務(wù)飛速發(fā)展的今天，Web應(yīng)用安全面臨著前所未有的挑戰(zhàn)。本書凝聚了作者們超過30年的Web安全從業(yè)經(jīng)驗，詳細(xì)剖析了Web應(yīng)用的安全漏洞，攻擊手法和對抗措施，一步步的教授如何防御邪惡的攻擊，并協(xié)助讀者理解黑客的思考過程。本書分為13章，書后帶有附錄和詳細(xì)的英漢對照索引。本書是網(wǎng)絡(luò)管理員、系統(tǒng)管理員的必備寶典，也是電子商務(wù)從業(yè)者、網(wǎng)絡(luò)愛好者和企業(yè)管理者的參考書籍。

作者簡介

　　關(guān)于作者Joel Scambray擁有信息系統(tǒng)安全專家認(rèn)證（CISSP），有15年的信息安全經(jīng)驗，包括：在微軟和安永國際會計公司擔(dān)任高級管理角色，與人創(chuàng)辦Foundstone公司，擔(dān)任“財富500強”企業(yè)的技術(shù)顧問，與人合著“黑客大曝光”（Hacking Exposed）系列暢銷書。Mike Shema是NT Objectives的首席戰(zhàn)略官（CSO），曾在多個安全會議上進行過Web應(yīng)用安全的演講。他研究了大量的廣泛的Web技術(shù)，并開發(fā)出應(yīng)用安全課程的培訓(xùn)教材。他是《反黑客工具包》（Anti-Hacker Toolkit）一書的合著者。Caleb Sima是Web應(yīng)用安全產(chǎn)品公司SPI Dynamics的創(chuàng)辦者之一和首席技術(shù)官，擁有超過12年的安全經(jīng)驗。他在Web安全方面的探索和專業(yè)知識對Web應(yīng)用安全產(chǎn)業(yè)界確定產(chǎn)業(yè)發(fā)展的方向提供了極大的幫助。Caleb是Associated Press著名的Internet攻擊方面的時事評論員和專家。他也是各種雜志和在線專欄的作者。Caleb是ISSA（信息系統(tǒng)安全協(xié)會）成員，OASIS（結(jié)構(gòu)化信息標(biāo)準(zhǔn)促進組織）中應(yīng)用漏洞描述語言（Application Vulnerability Description Language）標(biāo)準(zhǔn)的發(fā)起者之一，也是Web應(yīng)用安全聯(lián)盟（Web Application Security Consortium，WASC）的發(fā)起成員。關(guān)于叢書作者Nishchal Bhalla“Security Compass”的創(chuàng)辦者，是一個在產(chǎn)品、代碼、Web應(yīng)用、主機和網(wǎng)絡(luò)評審方面的專家。Nish與人合著了《緩沖區(qū)溢出攻擊――檢測、剖析與預(yù)防》（Buffer Overflow Attacks： Detect Exploit & Prevent）一書，也是《Windows XP安全專家》（Windows XP Professional Security），《黑客札記：：網(wǎng)絡(luò)安全手冊》（HackNotes： Network Security）和《編寫安全工具和利用代碼》（Writing Security Tools and Exploits）的叢書作者。Nish參與了開源項目，諸如YASSP和OWASP，是Toronto Chapter的主席。他也為SecurityFocus撰寫文章，也是緊急安全問題的時事評論員。Samuel Bucholtz是Casaba Security的創(chuàng)建成員，Casaba Security是一家總部位于華盛頓西雅圖的公司安全咨詢公司。Samuel擅長于測試應(yīng)用程序、審查設(shè)計和實施系統(tǒng)/網(wǎng)絡(luò)架構(gòu)。在創(chuàng)辦Casaba Security之前，Samuel是Foundstone的一名安全顧問，為全球1000客戶執(zhí)行安全評審和滲透測試，管理超過一百個Web應(yīng)用的測試，并且培訓(xùn)網(wǎng)絡(luò)和Web應(yīng)用安全方面的學(xué)生。在進入Foundstone之前，Samuel是一名安全工程師，為一大型Internet咨詢公司負(fù)責(zé)構(gòu)建和運行擁有幾百萬用戶的Web站點。Samuel曾經(jīng)在Black Hat、CSI（Computer Security Institute，計算機安全協(xié)會）上發(fā)表過演講，并對客戶進行私人的指導(dǎo)。他擁有紐約大學(xué)計算機科學(xué)和經(jīng)濟專業(yè)學(xué)士學(xué)位，曾做過美國國防部網(wǎng)絡(luò)安全的實習(xí)生。David Wong現(xiàn)在是安永國際會計公司攻擊和滲透實踐措施的經(jīng)理。David擁有超過7年的安全經(jīng)驗，為金融服務(wù)、能源、電信和軟件產(chǎn)業(yè)公司進行過數(shù)百次滲透測試和攻擊測試。在這之前，David曾在一家金融服務(wù)公司擔(dān)任應(yīng)用安全主管，并在朗訊科技開始了他的安全研究職業(yè)生涯。David持有信息系統(tǒng)安全專家認(rèn)證（CISSP），并從庫珀學(xué)會畢業(yè)獲得工程學(xué)士學(xué)位。Arian Evans進入信息安全領(lǐng)域近8年時間。他關(guān)注的是應(yīng)用安全和IDS（入侵檢測系統(tǒng)）。Arian現(xiàn)在研究和開發(fā)了用于評估應(yīng)用程序和數(shù)據(jù)庫安全狀態(tài)的新方法，除此之外，這種方法還能幫助客戶設(shè)計、配置和防范他們的應(yīng)用程序。Arian就職于FishNet Security，處理全世界范圍內(nèi)客戶的應(yīng)用安全問題，他也曾經(jīng)為Internet安全中心（Center for Internet Security）、FBI，以及多家涉及Web應(yīng)用安全和與攻擊應(yīng)急響應(yīng)有關(guān)的商業(yè)組織工作過。譯者簡介王煒，1981年1月出生，2003年畢業(yè)于四川大學(xué)計算機通信專業(yè)，獲學(xué)士學(xué)位?，F(xiàn)為四川大學(xué)通信與信息系統(tǒng)專業(yè)博士研究生，主要研究方向為：網(wǎng)絡(luò)與信息安全。文苗，東南大學(xué)軟件工程學(xué)士學(xué)位，愛好網(wǎng)絡(luò)安全和軟件開發(fā)，有多年Web程序開發(fā)和測試經(jīng)驗，曾負(fù)責(zé)和參與某大型Web商業(yè)軟件的安全測試工作。羅代升，博士，教授，博士生導(dǎo)師。1970年四川大學(xué)畢業(yè)，留校任教，主要研究方向包括信號與信息處理，通信與信息系統(tǒng)，計算機視覺，模式識別，智能系統(tǒng)及設(shè)計。

圖書目錄

第1章 Web應(yīng)用攻擊的基礎(chǔ)知識
　1.1 什么是Web應(yīng)用攻擊
　　1.1.1 GUI Web攻擊
　　1.1.2 URI攻擊
　　1.1.3 請求方法、請求頭和數(shù)據(jù)體
　　1.1.4 資源
　　1.1.5 認(rèn)證，會話和授權(quán)
　　1.1.6 Web客戶端和HTML
　　1.1.7 其他協(xié)議
　1.2 為什么攻擊Web應(yīng)用
　1.3 何人、何時、何地攻擊Web應(yīng)用
　　1.3.1 安全薄弱點
　1.4 如何攻擊Web應(yīng)用程序
　　1.4.1 Web瀏覽器
　　1.4.2 瀏覽器擴展
　　1.4.3 HTTP代理
　　1.4.4 命令行工具
　　1.4.5 一些老工具
　1.5 小結(jié)
　1.6 參考和進一步閱讀
第2章剖析
　2.1 架構(gòu)剖析
　　2.1.1 踩點和掃描：定義范圍
　　2.1.2 Banner抓取
　　2.1.3 高級HTTP指紋
　　2.1.4 中間件架構(gòu)
　2.2 應(yīng)用剖析
　　2.2.1 手工檢測
　　2.2.2 使用搜索工具進行剖析
　　2.2.3 自動Web爬行工具
　　2.2.4 常見Web應(yīng)用剖析
　2.3 常用對抗措施
　　2.3.1 一條警示
　　2.3.2 保護目錄
　　2.3.3 保護包含文件
　　2.3.4 一些其他技巧
　2.4 小結(jié)
　2.5 參考和進一步閱讀
第3章攻擊Web平臺
　3.1 使用Metasploit進行點擊式的漏洞利用
　3.2 手工漏洞利用
　3.3 檢測繞過技術(shù)
　3.4 Web平臺安全最佳實踐
　　3.4.1 通用最佳實踐
　　3.4.2 IIS加固
　　3.4.3 加固Apache
　　3.4.4 PHP最佳實踐
　3.5 小結(jié)
　3.6 參考和進一步閱讀
第4章攻擊Web認(rèn)證
　4.1 認(rèn)證威脅
　　4.1.1 用戶名/密碼威脅
　　4.1.2 更強的Web認(rèn)證
　　4.1.3 Web認(rèn)證服務(wù)
　4.2 繞過認(rèn)證
　　4.2.1 令牌重放
　　4.2.2 身份管理
　　4.2.3 利用客戶端
　　4.2.4 最后一些思考：身份竊取
　4.3 小結(jié)
　4.4 參考和進一步閱讀
第5章攻擊Web授權(quán)
　5.1 授權(quán)實現(xiàn)的指紋識別
　　5.1.1 爬行ACL
　　5.1.2 識別訪問/會話令牌
　　5.1.3 分析會話令牌
　　5.1.4 差異分析
　　5.1.5 角色矩陣
　5.2 攻擊ACL
　5.3 攻擊令牌
　　5.3.1 手動預(yù)測
　　5.3.2 自動預(yù)測
　　5.3.3 捕獲/重放
　　5.3.4 會話定置
　5.4 授權(quán)攻擊案例分析
　　5.4.1 水平權(quán)限提升
　　5.4.2 垂直權(quán)限提升
　　5.4.3 差異分析
　　5.4.4 使用Curl映射許可
　5.5 授權(quán)最佳實踐
　　5.5.1 Web ACL最佳實踐
　　5.5.2 Web授權(quán)/會話令牌安全
　　5.5.3 安全日志
　5.6 小結(jié)
　5.7 參考和進一步閱讀
第6章輸入驗證攻擊
　6.1 預(yù)料意外的情況
　6.2 在哪里尋找攻擊載體
　6.3 繞過客戶端驗證
　6.4 常見的輸入驗證攻擊
　　6.4.1 緩沖區(qū)溢出
　　6.4.2 轉(zhuǎn)義攻擊
　　6.4.3 腳本攻擊
　　6.4.4 邊界檢查
　　6.4.5 操縱應(yīng)用程序行為
　　6.4.6 SQL注入和數(shù)據(jù)存儲攻擊
　　6.4.7 執(zhí)行命令
　　6.4.8 編碼濫用
　　6.4.9 PHP全局變量
　　6.4.10 常見的后果
　6.5 小結(jié)
　6.6 參考和進一步閱讀
第7章攻擊Web數(shù)據(jù)存儲
　7.1 SQL入門
　　7.1.1 語法
　　7.1.2 SELECT，INSERT和UPDATE
　7.2 發(fā)現(xiàn)SQL注入
　　7.2.1 語法和錯誤
　　7.2.2 語義和行為
　　7.2.3 替換字符編碼
　7.3 利用SQL注入漏洞
　　7.3.1 改變流程
　　7.3.2 查詢替換數(shù)據(jù)
　　7.3.3 平臺
　7.4 其他數(shù)據(jù)存儲攻擊
　　7.4.1 輸入驗證
　　7.4.2 把查詢數(shù)據(jù)從查詢邏輯分離出來
　　7.4.3 數(shù)據(jù)庫加密
　　7.4.4 數(shù)據(jù)庫配置
　7.5 小結(jié)
第8章攻擊XML Web服務(wù)
　8.1 什么是Web服務(wù)
　　8.1.1 傳輸：HTTP（S）上的SOAP
　　8.1.2 WSDL
　　8.1.3 目錄服務(wù)：UDDI和DISCO
　　8.1.4 與Web應(yīng)用程序安全的相似性
　8.2 攻擊Web服務(wù)
　8.3 Web服務(wù)安全基礎(chǔ)
　　8.3.1 Web服務(wù)安全措施
　8.4 小結(jié)
　8.5 參考和進一步閱讀
第9章攻擊Web應(yīng)用管理
　9.1 遠(yuǎn)程服務(wù)器管理
　　9.1.1 Telnet
　　9.1.2 SSH
　　9.1.3 私有的管理端口
　　9.1.4 其他管理服務(wù)
　9.2 Web內(nèi)容管理
　　9.2.1 FTP
　　9.2.2 SSH/scp
　　9.2.3 FrontPage
　　9.2.4 WebDAV
　9.3 管理員錯誤配置
　　9.3.1 不必要的Web服務(wù)器擴展
　　9.3.2 信息泄漏
　9.4 開發(fā)者造成的錯誤
　9.5 小結(jié)
　9.6 參考和進一步閱讀
第10章攻擊Web客戶端
　10.1 漏洞利用
　10.2 欺騙
　10.3 通用對抗措施
　　10.3.1 IE安全區(qū)域
　　10.3.2 Firefox安全設(shè)置
　　10.3.3 低權(quán)限瀏覽
　　10.3.4 服務(wù)端的對抗措施
　10.4 小結(jié)
　10.5 參考和進一步閱讀
第11章拒絕服務(wù)（Denial of Service）攻擊
　11.1 常見的DoS攻擊技術(shù)
　　11.1.1 傳統(tǒng)的DoS攻擊：利用漏洞
　　11.1.2 現(xiàn)代DoS攻擊：能力損耗
　　11.1.3 應(yīng)用層的DoS攻擊
　11.2 常見的DoS對抗措施
　　11.2.1 主動DoS防御
　　11.2.2 DoS測試（DoS Testing）
　　11.2.3 應(yīng)對DoS攻擊
　11.3 總結(jié)
　11.4 參考和進一步閱讀
第12章充分認(rèn)知分析（Full-Knowledge Analysis）
　12.1 威脅建模
　　12.1.1 理清安全對象
　　12.1.2 識別資產(chǎn)
　　12.1.3 架構(gòu)概述
　　12.1.4 分解應(yīng)用程序
　　12.1.5 識別威脅并用文檔描述它們
　　12.1.6 對威脅排序
　　12.1.7 開發(fā)威脅減緩策略
　12.2 代碼評審
　　12.2.1 手動源代碼評審
　　12.2.2 自動源代碼評審
　　12.2.3 二進制分析
　12.3 應(yīng)用程序代碼的安全測試
　　12.3.1 模糊測試
　　12.3.2 測試工具、程序和用具
　12.4 在Web開發(fā)流程中的安全
　　12.4.1 人員
　　12.4.2 流程
　　12.4.3 技術(shù)
　12.5 小結(jié)
　12.6 參考和進一步閱讀
第13章 Web應(yīng)用安全掃描器
　13.1 技術(shù)：Web應(yīng)用安全掃描器
　　13.1.1 測試平臺
　　13.1.2 測試
　　13.1.3 單個掃描器評審
　　13.1.4 整體測試結(jié)果
　13.2 非技術(shù)問題
　　13.2.1 流程
　　13.2.2 人員
　13.3 小結(jié)
　13.4 參考和進一步閱讀
附錄A Web應(yīng)用程序的安全檢查列表
附錄B Web攻擊工具和攻擊技術(shù)清單
附錄C URLScan和ModSecurity
附錄D 關(guān)于本書的配套網(wǎng)站
索引