黑客大曝光：Web應用安全機密與解決方案（第2版）

定　價：￥65.00

作　者：	（美）斯卡姆布雷，（美）施瑪，（美）西瑪著，王煒，文苗，羅代升譯
出版社：	電子工業(yè)出版社
叢編項：	安全技術大系
標　簽：	信息安全

購買這本書可以去

ISBN：	9787121066696	出版時間：	2008-06-01	包裝：	平裝
開本：	16開	頁數(shù)：	462	字數(shù)：

內(nèi)容簡介

　　在網(wǎng)絡技術和電子商務飛速發(fā)展的今天，Web應用安全面臨著前所未有的挑戰(zhàn)。本書凝聚了作者們超過30年的Web安全從業(yè)經(jīng)驗，詳細剖析了Web應用的安全漏洞，攻擊手法和對抗措施，一步步的教授如何防御邪惡的攻擊，并協(xié)助讀者理解黑客的思考過程。本書分為13章，書后帶有附錄和詳細的英漢對照索引。本書是網(wǎng)絡管理員、系統(tǒng)管理員的必備寶典，也是電子商務從業(yè)者、網(wǎng)絡愛好者和企業(yè)管理者的參考書籍。

作者簡介

　　關于作者Joel Scambray擁有信息系統(tǒng)安全專家認證（CISSP），有15年的信息安全經(jīng)驗，包括：在微軟和安永國際會計公司擔任高級管理角色，與人創(chuàng)辦Foundstone公司，擔任“財富500強”企業(yè)的技術顧問，與人合著“黑客大曝光”（Hacking Exposed）系列暢銷書。Mike Shema是NT Objectives的首席戰(zhàn)略官（CSO），曾在多個安全會議上進行過Web應用安全的演講。他研究了大量的廣泛的Web技術，并開發(fā)出應用安全課程的培訓教材。他是《反黑客工具包》（Anti-Hacker Toolkit）一書的合著者。Caleb Sima是Web應用安全產(chǎn)品公司SPI Dynamics的創(chuàng)辦者之一和首席技術官，擁有超過12年的安全經(jīng)驗。他在Web安全方面的探索和專業(yè)知識對Web應用安全產(chǎn)業(yè)界確定產(chǎn)業(yè)發(fā)展的方向提供了極大的幫助。Caleb是Associated Press著名的Internet攻擊方面的時事評論員和專家。他也是各種雜志和在線專欄的作者。Caleb是ISSA（信息系統(tǒng)安全協(xié)會）成員，OASIS（結構化信息標準促進組織）中應用漏洞描述語言（Application Vulnerability Description Language）標準的發(fā)起者之一，也是Web應用安全聯(lián)盟（Web Application Security Consortium，WASC）的發(fā)起成員。關于叢書作者Nishchal Bhalla“Security Compass”的創(chuàng)辦者，是一個在產(chǎn)品、代碼、Web應用、主機和網(wǎng)絡評審方面的專家。Nish與人合著了《緩沖區(qū)溢出攻擊――檢測、剖析與預防》（Buffer Overflow Attacks： Detect Exploit & Prevent）一書，也是《Windows XP安全專家》（Windows XP Professional Security），《黑客札記：：網(wǎng)絡安全手冊》（HackNotes： Network Security）和《編寫安全工具和利用代碼》（Writing Security Tools and Exploits）的叢書作者。Nish參與了開源項目，諸如YASSP和OWASP，是Toronto Chapter的主席。他也為SecurityFocus撰寫文章，也是緊急安全問題的時事評論員。Samuel Bucholtz是Casaba Security的創(chuàng)建成員，Casaba Security是一家總部位于華盛頓西雅圖的公司安全咨詢公司。Samuel擅長于測試應用程序、審查設計和實施系統(tǒng)/網(wǎng)絡架構。在創(chuàng)辦Casaba Security之前，Samuel是Foundstone的一名安全顧問，為全球1000客戶執(zhí)行安全評審和滲透測試，管理超過一百個Web應用的測試，并且培訓網(wǎng)絡和Web應用安全方面的學生。在進入Foundstone之前，Samuel是一名安全工程師，為一大型Internet咨詢公司負責構建和運行擁有幾百萬用戶的Web站點。Samuel曾經(jīng)在Black Hat、CSI（Computer Security Institute，計算機安全協(xié)會）上發(fā)表過演講，并對客戶進行私人的指導。他擁有紐約大學計算機科學和經(jīng)濟專業(yè)學士學位，曾做過美國國防部網(wǎng)絡安全的實習生。David Wong現(xiàn)在是安永國際會計公司攻擊和滲透實踐措施的經(jīng)理。David擁有超過7年的安全經(jīng)驗，為金融服務、能源、電信和軟件產(chǎn)業(yè)公司進行過數(shù)百次滲透測試和攻擊測試。在這之前，David曾在一家金融服務公司擔任應用安全主管，并在朗訊科技開始了他的安全研究職業(yè)生涯。David持有信息系統(tǒng)安全專家認證（CISSP），并從庫珀學會畢業(yè)獲得工程學士學位。Arian Evans進入信息安全領域近8年時間。他關注的是應用安全和IDS（入侵檢測系統(tǒng)）。Arian現(xiàn)在研究和開發(fā)了用于評估應用程序和數(shù)據(jù)庫安全狀態(tài)的新方法，除此之外，這種方法還能幫助客戶設計、配置和防范他們的應用程序。Arian就職于FishNet Security，處理全世界范圍內(nèi)客戶的應用安全問題，他也曾經(jīng)為Internet安全中心（Center for Internet Security）、FBI，以及多家涉及Web應用安全和與攻擊應急響應有關的商業(yè)組織工作過。譯者簡介王煒，1981年1月出生，2003年畢業(yè)于四川大學計算機通信專業(yè)，獲學士學位?，F(xiàn)為四川大學通信與信息系統(tǒng)專業(yè)博士研究生，主要研究方向為：網(wǎng)絡與信息安全。文苗，東南大學軟件工程學士學位，愛好網(wǎng)絡安全和軟件開發(fā)，有多年Web程序開發(fā)和測試經(jīng)驗，曾負責和參與某大型Web商業(yè)軟件的安全測試工作。羅代升，博士，教授，博士生導師。1970年四川大學畢業(yè)，留校任教，主要研究方向包括信號與信息處理，通信與信息系統(tǒng)，計算機視覺，模式識別，智能系統(tǒng)及設計。

圖書目錄

第1章 Web應用攻擊的基礎知識
　1.1 什么是Web應用攻擊
　　1.1.1 GUI Web攻擊
　　1.1.2 URI攻擊
　　1.1.3 請求方法、請求頭和數(shù)據(jù)體
　　1.1.4 資源
　　1.1.5 認證，會話和授權
　　1.1.6 Web客戶端和HTML
　　1.1.7 其他協(xié)議
　1.2 為什么攻擊Web應用
　1.3 何人、何時、何地攻擊Web應用
　　1.3.1 安全薄弱點
　1.4 如何攻擊Web應用程序
　　1.4.1 Web瀏覽器
　　1.4.2 瀏覽器擴展
　　1.4.3 HTTP代理
　　1.4.4 命令行工具
　　1.4.5 一些老工具
　1.5 小結
　1.6 參考和進一步閱讀
第2章剖析
　2.1 架構剖析
　　2.1.1 踩點和掃描：定義范圍
　　2.1.2 Banner抓取
　　2.1.3 高級HTTP指紋
　　2.1.4 中間件架構
　2.2 應用剖析
　　2.2.1 手工檢測
　　2.2.2 使用搜索工具進行剖析
　　2.2.3 自動Web爬行工具
　　2.2.4 常見Web應用剖析
　2.3 常用對抗措施
　　2.3.1 一條警示
　　2.3.2 保護目錄
　　2.3.3 保護包含文件
　　2.3.4 一些其他技巧
　2.4 小結
　2.5 參考和進一步閱讀
第3章攻擊Web平臺
　3.1 使用Metasploit進行點擊式的漏洞利用
　3.2 手工漏洞利用
　3.3 檢測繞過技術
　3.4 Web平臺安全最佳實踐
　　3.4.1 通用最佳實踐
　　3.4.2 IIS加固
　　3.4.3 加固Apache
　　3.4.4 PHP最佳實踐
　3.5 小結
　3.6 參考和進一步閱讀
第4章攻擊Web認證
　4.1 認證威脅
　　4.1.1 用戶名/密碼威脅
　　4.1.2 更強的Web認證
　　4.1.3 Web認證服務
　4.2 繞過認證
　　4.2.1 令牌重放
　　4.2.2 身份管理
　　4.2.3 利用客戶端
　　4.2.4 最后一些思考：身份竊取
　4.3 小結
　4.4 參考和進一步閱讀
第5章攻擊Web授權
　5.1 授權實現(xiàn)的指紋識別
　　5.1.1 爬行ACL
　　5.1.2 識別訪問/會話令牌
　　5.1.3 分析會話令牌
　　5.1.4 差異分析
　　5.1.5 角色矩陣
　5.2 攻擊ACL
　5.3 攻擊令牌
　　5.3.1 手動預測
　　5.3.2 自動預測
　　5.3.3 捕獲/重放
　　5.3.4 會話定置
　5.4 授權攻擊案例分析
　　5.4.1 水平權限提升
　　5.4.2 垂直權限提升
　　5.4.3 差異分析
　　5.4.4 使用Curl映射許可
　5.5 授權最佳實踐
　　5.5.1 Web ACL最佳實踐
　　5.5.2 Web授權/會話令牌安全
　　5.5.3 安全日志
　5.6 小結
　5.7 參考和進一步閱讀
第6章輸入驗證攻擊
　6.1 預料意外的情況
　6.2 在哪里尋找攻擊載體
　6.3 繞過客戶端驗證
　6.4 常見的輸入驗證攻擊
　　6.4.1 緩沖區(qū)溢出
　　6.4.2 轉義攻擊
　　6.4.3 腳本攻擊
　　6.4.4 邊界檢查
　　6.4.5 操縱應用程序行為
　　6.4.6 SQL注入和數(shù)據(jù)存儲攻擊
　　6.4.7 執(zhí)行命令
　　6.4.8 編碼濫用
　　6.4.9 PHP全局變量
　　6.4.10 常見的后果
　6.5 小結
　6.6 參考和進一步閱讀
第7章攻擊Web數(shù)據(jù)存儲
　7.1 SQL入門
　　7.1.1 語法
　　7.1.2 SELECT，INSERT和UPDATE
　7.2 發(fā)現(xiàn)SQL注入
　　7.2.1 語法和錯誤
　　7.2.2 語義和行為
　　7.2.3 替換字符編碼
　7.3 利用SQL注入漏洞
　　7.3.1 改變流程
　　7.3.2 查詢替換數(shù)據(jù)
　　7.3.3 平臺
　7.4 其他數(shù)據(jù)存儲攻擊
　　7.4.1 輸入驗證
　　7.4.2 把查詢數(shù)據(jù)從查詢邏輯分離出來
　　7.4.3 數(shù)據(jù)庫加密
　　7.4.4 數(shù)據(jù)庫配置
　7.5 小結
第8章攻擊XML Web服務
　8.1 什么是Web服務
　　8.1.1 傳輸：HTTP（S）上的SOAP
　　8.1.2 WSDL
　　8.1.3 目錄服務：UDDI和DISCO
　　8.1.4 與Web應用程序安全的相似性
　8.2 攻擊Web服務
　8.3 Web服務安全基礎
　　8.3.1 Web服務安全措施
　8.4 小結
　8.5 參考和進一步閱讀
第9章攻擊Web應用管理
　9.1 遠程服務器管理
　　9.1.1 Telnet
　　9.1.2 SSH
　　9.1.3 私有的管理端口
　　9.1.4 其他管理服務
　9.2 Web內(nèi)容管理
　　9.2.1 FTP
　　9.2.2 SSH/scp
　　9.2.3 FrontPage
　　9.2.4 WebDAV
　9.3 管理員錯誤配置
　　9.3.1 不必要的Web服務器擴展
　　9.3.2 信息泄漏
　9.4 開發(fā)者造成的錯誤
　9.5 小結
　9.6 參考和進一步閱讀
第10章攻擊Web客戶端
　10.1 漏洞利用
　10.2 欺騙
　10.3 通用對抗措施
　　10.3.1 IE安全區(qū)域
　　10.3.2 Firefox安全設置
　　10.3.3 低權限瀏覽
　　10.3.4 服務端的對抗措施
　10.4 小結
　10.5 參考和進一步閱讀
第11章拒絕服務（Denial of Service）攻擊
　11.1 常見的DoS攻擊技術
　　11.1.1 傳統(tǒng)的DoS攻擊：利用漏洞
　　11.1.2 現(xiàn)代DoS攻擊：能力損耗
　　11.1.3 應用層的DoS攻擊
　11.2 常見的DoS對抗措施
　　11.2.1 主動DoS防御
　　11.2.2 DoS測試（DoS Testing）
　　11.2.3 應對DoS攻擊
　11.3 總結
　11.4 參考和進一步閱讀
第12章充分認知分析（Full-Knowledge Analysis）
　12.1 威脅建模
　　12.1.1 理清安全對象
　　12.1.2 識別資產(chǎn)
　　12.1.3 架構概述
　　12.1.4 分解應用程序
　　12.1.5 識別威脅并用文檔描述它們
　　12.1.6 對威脅排序
　　12.1.7 開發(fā)威脅減緩策略
　12.2 代碼評審
　　12.2.1 手動源代碼評審
　　12.2.2 自動源代碼評審
　　12.2.3 二進制分析
　12.3 應用程序代碼的安全測試
　　12.3.1 模糊測試
　　12.3.2 測試工具、程序和用具
　12.4 在Web開發(fā)流程中的安全
　　12.4.1 人員
　　12.4.2 流程
　　12.4.3 技術
　12.5 小結
　12.6 參考和進一步閱讀
第13章 Web應用安全掃描器
　13.1 技術：Web應用安全掃描器
　　13.1.1 測試平臺
　　13.1.2 測試
　　13.1.3 單個掃描器評審
　　13.1.4 整體測試結果
　13.2 非技術問題
　　13.2.1 流程
　　13.2.2 人員
　13.3 小結
　13.4 參考和進一步閱讀
附錄A Web應用程序的安全檢查列表
附錄B Web攻擊工具和攻擊技術清單
附錄C URLScan和ModSecurity
附錄D 關于本書的配套網(wǎng)站
索引