黑客大曝光：Web應(yīng)用安全機(jī)密與解決方案（第2版）

定　價(jià)：￥65.00

作　者：	（美）斯卡姆布雷，（美）施瑪，（美）西瑪著，王煒，文苗，羅代升譯
出版社：	電子工業(yè)出版社
叢編項(xiàng)：	安全技術(shù)大系
標(biāo)　簽：	信息安全

購買這本書可以去

ISBN：	9787121066696	出版時(shí)間：	2008-06-01	包裝：	平裝
開本：	16開	頁數(shù)：	462	字?jǐn)?shù)：

內(nèi)容簡介

　　在網(wǎng)絡(luò)技術(shù)和電子商務(wù)飛速發(fā)展的今天，Web應(yīng)用安全面臨著前所未有的挑戰(zhàn)。本書凝聚了作者們超過30年的Web安全從業(yè)經(jīng)驗(yàn)，詳細(xì)剖析了Web應(yīng)用的安全漏洞，攻擊手法和對(duì)抗措施，一步步的教授如何防御邪惡的攻擊，并協(xié)助讀者理解黑客的思考過程。本書分為13章，書后帶有附錄和詳細(xì)的英漢對(duì)照索引。本書是網(wǎng)絡(luò)管理員、系統(tǒng)管理員的必備寶典，也是電子商務(wù)從業(yè)者、網(wǎng)絡(luò)愛好者和企業(yè)管理者的參考書籍。

作者簡介

　　關(guān)于作者Joel Scambray擁有信息系統(tǒng)安全專家認(rèn)證（CISSP），有15年的信息安全經(jīng)驗(yàn)，包括：在微軟和安永國際會(huì)計(jì)公司擔(dān)任高級(jí)管理角色，與人創(chuàng)辦Foundstone公司，擔(dān)任“財(cái)富500強(qiáng)”企業(yè)的技術(shù)顧問，與人合著“黑客大曝光”（Hacking Exposed）系列暢銷書。Mike Shema是NT Objectives的首席戰(zhàn)略官（CSO），曾在多個(gè)安全會(huì)議上進(jìn)行過Web應(yīng)用安全的演講。他研究了大量的廣泛的Web技術(shù)，并開發(fā)出應(yīng)用安全課程的培訓(xùn)教材。他是《反黑客工具包》（Anti-Hacker Toolkit）一書的合著者。Caleb Sima是Web應(yīng)用安全產(chǎn)品公司SPI Dynamics的創(chuàng)辦者之一和首席技術(shù)官，擁有超過12年的安全經(jīng)驗(yàn)。他在Web安全方面的探索和專業(yè)知識(shí)對(duì)Web應(yīng)用安全產(chǎn)業(yè)界確定產(chǎn)業(yè)發(fā)展的方向提供了極大的幫助。Caleb是Associated Press著名的Internet攻擊方面的時(shí)事評(píng)論員和專家。他也是各種雜志和在線專欄的作者。Caleb是ISSA（信息系統(tǒng)安全協(xié)會(huì)）成員，OASIS（結(jié)構(gòu)化信息標(biāo)準(zhǔn)促進(jìn)組織）中應(yīng)用漏洞描述語言（Application Vulnerability Description Language）標(biāo)準(zhǔn)的發(fā)起者之一，也是Web應(yīng)用安全聯(lián)盟（Web Application Security Consortium，WASC）的發(fā)起成員。關(guān)于叢書作者Nishchal Bhalla“Security Compass”的創(chuàng)辦者，是一個(gè)在產(chǎn)品、代碼、Web應(yīng)用、主機(jī)和網(wǎng)絡(luò)評(píng)審方面的專家。Nish與人合著了《緩沖區(qū)溢出攻擊――檢測、剖析與預(yù)防》（Buffer Overflow Attacks： Detect Exploit & Prevent）一書，也是《Windows XP安全專家》（Windows XP Professional Security），《黑客札記：：網(wǎng)絡(luò)安全手冊》（HackNotes： Network Security）和《編寫安全工具和利用代碼》（Writing Security Tools and Exploits）的叢書作者。Nish參與了開源項(xiàng)目，諸如YASSP和OWASP，是Toronto Chapter的主席。他也為SecurityFocus撰寫文章，也是緊急安全問題的時(shí)事評(píng)論員。Samuel Bucholtz是Casaba Security的創(chuàng)建成員，Casaba Security是一家總部位于華盛頓西雅圖的公司安全咨詢公司。Samuel擅長于測試應(yīng)用程序、審查設(shè)計(jì)和實(shí)施系統(tǒng)/網(wǎng)絡(luò)架構(gòu)。在創(chuàng)辦Casaba Security之前，Samuel是Foundstone的一名安全顧問，為全球1000客戶執(zhí)行安全評(píng)審和滲透測試，管理超過一百個(gè)Web應(yīng)用的測試，并且培訓(xùn)網(wǎng)絡(luò)和Web應(yīng)用安全方面的學(xué)生。在進(jìn)入Foundstone之前，Samuel是一名安全工程師，為一大型Internet咨詢公司負(fù)責(zé)構(gòu)建和運(yùn)行擁有幾百萬用戶的Web站點(diǎn)。Samuel曾經(jīng)在Black Hat、CSI（Computer Security Institute，計(jì)算機(jī)安全協(xié)會(huì)）上發(fā)表過演講，并對(duì)客戶進(jìn)行私人的指導(dǎo)。他擁有紐約大學(xué)計(jì)算機(jī)科學(xué)和經(jīng)濟(jì)專業(yè)學(xué)士學(xué)位，曾做過美國國防部網(wǎng)絡(luò)安全的實(shí)習(xí)生。David Wong現(xiàn)在是安永國際會(huì)計(jì)公司攻擊和滲透實(shí)踐措施的經(jīng)理。David擁有超過7年的安全經(jīng)驗(yàn)，為金融服務(wù)、能源、電信和軟件產(chǎn)業(yè)公司進(jìn)行過數(shù)百次滲透測試和攻擊測試。在這之前，David曾在一家金融服務(wù)公司擔(dān)任應(yīng)用安全主管，并在朗訊科技開始了他的安全研究職業(yè)生涯。David持有信息系統(tǒng)安全專家認(rèn)證（CISSP），并從庫珀學(xué)會(huì)畢業(yè)獲得工程學(xué)士學(xué)位。Arian Evans進(jìn)入信息安全領(lǐng)域近8年時(shí)間。他關(guān)注的是應(yīng)用安全和IDS（入侵檢測系統(tǒng)）。Arian現(xiàn)在研究和開發(fā)了用于評(píng)估應(yīng)用程序和數(shù)據(jù)庫安全狀態(tài)的新方法，除此之外，這種方法還能幫助客戶設(shè)計(jì)、配置和防范他們的應(yīng)用程序。Arian就職于FishNet Security，處理全世界范圍內(nèi)客戶的應(yīng)用安全問題，他也曾經(jīng)為Internet安全中心（Center for Internet Security）、FBI，以及多家涉及Web應(yīng)用安全和與攻擊應(yīng)急響應(yīng)有關(guān)的商業(yè)組織工作過。譯者簡介王煒，1981年1月出生，2003年畢業(yè)于四川大學(xué)計(jì)算機(jī)通信專業(yè)，獲學(xué)士學(xué)位?，F(xiàn)為四川大學(xué)通信與信息系統(tǒng)專業(yè)博士研究生，主要研究方向?yàn)椋壕W(wǎng)絡(luò)與信息安全。文苗，東南大學(xué)軟件工程學(xué)士學(xué)位，愛好網(wǎng)絡(luò)安全和軟件開發(fā)，有多年Web程序開發(fā)和測試經(jīng)驗(yàn)，曾負(fù)責(zé)和參與某大型Web商業(yè)軟件的安全測試工作。羅代升，博士，教授，博士生導(dǎo)師。1970年四川大學(xué)畢業(yè)，留校任教，主要研究方向包括信號(hào)與信息處理，通信與信息系統(tǒng)，計(jì)算機(jī)視覺，模式識(shí)別，智能系統(tǒng)及設(shè)計(jì)。

圖書目錄

第1章 Web應(yīng)用攻擊的基礎(chǔ)知識(shí)
　1.1 什么是Web應(yīng)用攻擊
　　1.1.1 GUI Web攻擊
　　1.1.2 URI攻擊
　　1.1.3 請(qǐng)求方法、請(qǐng)求頭和數(shù)據(jù)體
　　1.1.4 資源
　　1.1.5 認(rèn)證，會(huì)話和授權(quán)
　　1.1.6 Web客戶端和HTML
　　1.1.7 其他協(xié)議
　1.2 為什么攻擊Web應(yīng)用
　1.3 何人、何時(shí)、何地攻擊Web應(yīng)用
　　1.3.1 安全薄弱點(diǎn)
　1.4 如何攻擊Web應(yīng)用程序
　　1.4.1 Web瀏覽器
　　1.4.2 瀏覽器擴(kuò)展
　　1.4.3 HTTP代理
　　1.4.4 命令行工具
　　1.4.5 一些老工具
　1.5 小結(jié)
　1.6 參考和進(jìn)一步閱讀
第2章剖析
　2.1 架構(gòu)剖析
　　2.1.1 踩點(diǎn)和掃描：定義范圍
　　2.1.2 Banner抓取
　　2.1.3 高級(jí)HTTP指紋
　　2.1.4 中間件架構(gòu)
　2.2 應(yīng)用剖析
　　2.2.1 手工檢測
　　2.2.2 使用搜索工具進(jìn)行剖析
　　2.2.3 自動(dòng)Web爬行工具
　　2.2.4 常見Web應(yīng)用剖析
　2.3 常用對(duì)抗措施
　　2.3.1 一條警示
　　2.3.2 保護(hù)目錄
　　2.3.3 保護(hù)包含文件
　　2.3.4 一些其他技巧
　2.4 小結(jié)
　2.5 參考和進(jìn)一步閱讀
第3章攻擊Web平臺(tái)
　3.1 使用Metasploit進(jìn)行點(diǎn)擊式的漏洞利用
　3.2 手工漏洞利用
　3.3 檢測繞過技術(shù)
　3.4 Web平臺(tái)安全最佳實(shí)踐
　　3.4.1 通用最佳實(shí)踐
　　3.4.2 IIS加固
　　3.4.3 加固Apache
　　3.4.4 PHP最佳實(shí)踐
　3.5 小結(jié)
　3.6 參考和進(jìn)一步閱讀
第4章攻擊Web認(rèn)證
　4.1 認(rèn)證威脅
　　4.1.1 用戶名/密碼威脅
　　4.1.2 更強(qiáng)的Web認(rèn)證
　　4.1.3 Web認(rèn)證服務(wù)
　4.2 繞過認(rèn)證
　　4.2.1 令牌重放
　　4.2.2 身份管理
　　4.2.3 利用客戶端
　　4.2.4 最后一些思考：身份竊取
　4.3 小結(jié)
　4.4 參考和進(jìn)一步閱讀
第5章攻擊Web授權(quán)
　5.1 授權(quán)實(shí)現(xiàn)的指紋識(shí)別
　　5.1.1 爬行ACL
　　5.1.2 識(shí)別訪問/會(huì)話令牌
　　5.1.3 分析會(huì)話令牌
　　5.1.4 差異分析
　　5.1.5 角色矩陣
　5.2 攻擊ACL
　5.3 攻擊令牌
　　5.3.1 手動(dòng)預(yù)測
　　5.3.2 自動(dòng)預(yù)測
　　5.3.3 捕獲/重放
　　5.3.4 會(huì)話定置
　5.4 授權(quán)攻擊案例分析
　　5.4.1 水平權(quán)限提升
　　5.4.2 垂直權(quán)限提升
　　5.4.3 差異分析
　　5.4.4 使用Curl映射許可
　5.5 授權(quán)最佳實(shí)踐
　　5.5.1 Web ACL最佳實(shí)踐
　　5.5.2 Web授權(quán)/會(huì)話令牌安全
　　5.5.3 安全日志
　5.6 小結(jié)
　5.7 參考和進(jìn)一步閱讀
第6章輸入驗(yàn)證攻擊
　6.1 預(yù)料意外的情況
　6.2 在哪里尋找攻擊載體
　6.3 繞過客戶端驗(yàn)證
　6.4 常見的輸入驗(yàn)證攻擊
　　6.4.1 緩沖區(qū)溢出
　　6.4.2 轉(zhuǎn)義攻擊
　　6.4.3 腳本攻擊
　　6.4.4 邊界檢查
　　6.4.5 操縱應(yīng)用程序行為
　　6.4.6 SQL注入和數(shù)據(jù)存儲(chǔ)攻擊
　　6.4.7 執(zhí)行命令
　　6.4.8 編碼濫用
　　6.4.9 PHP全局變量
　　6.4.10 常見的后果
　6.5 小結(jié)
　6.6 參考和進(jìn)一步閱讀
第7章攻擊Web數(shù)據(jù)存儲(chǔ)
　7.1 SQL入門
　　7.1.1 語法
　　7.1.2 SELECT，INSERT和UPDATE
　7.2 發(fā)現(xiàn)SQL注入
　　7.2.1 語法和錯(cuò)誤
　　7.2.2 語義和行為
　　7.2.3 替換字符編碼
　7.3 利用SQL注入漏洞
　　7.3.1 改變流程
　　7.3.2 查詢替換數(shù)據(jù)
　　7.3.3 平臺(tái)
　7.4 其他數(shù)據(jù)存儲(chǔ)攻擊
　　7.4.1 輸入驗(yàn)證
　　7.4.2 把查詢數(shù)據(jù)從查詢邏輯分離出來
　　7.4.3 數(shù)據(jù)庫加密
　　7.4.4 數(shù)據(jù)庫配置
　7.5 小結(jié)
第8章攻擊XML Web服務(wù)
　8.1 什么是Web服務(wù)
　　8.1.1 傳輸：HTTP（S）上的SOAP
　　8.1.2 WSDL
　　8.1.3 目錄服務(wù)：UDDI和DISCO
　　8.1.4 與Web應(yīng)用程序安全的相似性
　8.2 攻擊Web服務(wù)
　8.3 Web服務(wù)安全基礎(chǔ)
　　8.3.1 Web服務(wù)安全措施
　8.4 小結(jié)
　8.5 參考和進(jìn)一步閱讀
第9章攻擊Web應(yīng)用管理
　9.1 遠(yuǎn)程服務(wù)器管理
　　9.1.1 Telnet
　　9.1.2 SSH
　　9.1.3 私有的管理端口
　　9.1.4 其他管理服務(wù)
　9.2 Web內(nèi)容管理
　　9.2.1 FTP
　　9.2.2 SSH/scp
　　9.2.3 FrontPage
　　9.2.4 WebDAV
　9.3 管理員錯(cuò)誤配置
　　9.3.1 不必要的Web服務(wù)器擴(kuò)展
　　9.3.2 信息泄漏
　9.4 開發(fā)者造成的錯(cuò)誤
　9.5 小結(jié)
　9.6 參考和進(jìn)一步閱讀
第10章攻擊Web客戶端
　10.1 漏洞利用
　10.2 欺騙
　10.3 通用對(duì)抗措施
　　10.3.1 IE安全區(qū)域
　　10.3.2 Firefox安全設(shè)置
　　10.3.3 低權(quán)限瀏覽
　　10.3.4 服務(wù)端的對(duì)抗措施
　10.4 小結(jié)
　10.5 參考和進(jìn)一步閱讀
第11章拒絕服務(wù)（Denial of Service）攻擊
　11.1 常見的DoS攻擊技術(shù)
　　11.1.1 傳統(tǒng)的DoS攻擊：利用漏洞
　　11.1.2 現(xiàn)代DoS攻擊：能力損耗
　　11.1.3 應(yīng)用層的DoS攻擊
　11.2 常見的DoS對(duì)抗措施
　　11.2.1 主動(dòng)DoS防御
　　11.2.2 DoS測試（DoS Testing）
　　11.2.3 應(yīng)對(duì)DoS攻擊
　11.3 總結(jié)
　11.4 參考和進(jìn)一步閱讀
第12章充分認(rèn)知分析（Full-Knowledge Analysis）
　12.1 威脅建模
　　12.1.1 理清安全對(duì)象
　　12.1.2 識(shí)別資產(chǎn)
　　12.1.3 架構(gòu)概述
　　12.1.4 分解應(yīng)用程序
　　12.1.5 識(shí)別威脅并用文檔描述它們
　　12.1.6 對(duì)威脅排序
　　12.1.7 開發(fā)威脅減緩策略
　12.2 代碼評(píng)審
　　12.2.1 手動(dòng)源代碼評(píng)審
　　12.2.2 自動(dòng)源代碼評(píng)審
　　12.2.3 二進(jìn)制分析
　12.3 應(yīng)用程序代碼的安全測試
　　12.3.1 模糊測試
　　12.3.2 測試工具、程序和用具
　12.4 在Web開發(fā)流程中的安全
　　12.4.1 人員
　　12.4.2 流程
　　12.4.3 技術(shù)
　12.5 小結(jié)
　12.6 參考和進(jìn)一步閱讀
第13章 Web應(yīng)用安全掃描器
　13.1 技術(shù)：Web應(yīng)用安全掃描器
　　13.1.1 測試平臺(tái)
　　13.1.2 測試
　　13.1.3 單個(gè)掃描器評(píng)審
　　13.1.4 整體測試結(jié)果
　13.2 非技術(shù)問題
　　13.2.1 流程
　　13.2.2 人員
　13.3 小結(jié)
　13.4 參考和進(jìn)一步閱讀
附錄A Web應(yīng)用程序的安全檢查列表
附錄B Web攻擊工具和攻擊技術(shù)清單
附錄C URLScan和ModSecurity
附錄D 關(guān)于本書的配套網(wǎng)站
索引