Web攻防之業(yè)務(wù)安全實(shí)戰(zhàn)指南

定　價(jià)：￥69.00

作　者：	陳曉光著
出版社：	電子工業(yè)出版社
叢編項(xiàng)：
標(biāo)　簽：	計(jì)算機(jī)/網(wǎng)絡(luò) 信息安全

購(gòu)買這本書可以去

ISBN：	9787121335815	出版時(shí)間：	2018-03-01	包裝：	平裝
開本：	16開	頁(yè)數(shù)：	220	字?jǐn)?shù)：

內(nèi)容簡(jiǎn)介

　　業(yè)務(wù)安全漏洞作為常見的Web安全漏洞，在各大漏洞平臺(tái)時(shí)有報(bào)道，本書是一本從原理到案例分析，系統(tǒng)性地介紹這門技術(shù)的書籍。撰寫團(tuán)隊(duì)具有10年大型網(wǎng)站業(yè)務(wù)安全測(cè)試經(jīng)驗(yàn)，成員們對(duì)常見業(yè)務(wù)安全漏洞進(jìn)行梳理，總結(jié)出了全面、詳細(xì)的適用于電商、銀行、金融、證券、保險(xiǎn)、游戲、社交、招聘等業(yè)務(wù)系統(tǒng)的測(cè)試?yán)碚?、工具、方法及案例。本書?5章，包括理論篇、技術(shù)篇和實(shí)踐篇。理論篇首先介紹從事網(wǎng)絡(luò)安全工作涉及的相關(guān)法律法規(guī)，請(qǐng)大家一定要做一個(gè)遵紀(jì)守法的白帽子，然后介紹業(yè)務(wù)安全引發(fā)的一些安全問題和業(yè)務(wù)安全測(cè)試相關(guān)的方法論，以及怎么去學(xué)好業(yè)務(wù)安全。技術(shù)篇和實(shí)踐篇選取的內(nèi)容都是這些白帽子多年在電商、金融、證券、保險(xiǎn)、游戲、社交、招聘、O2O等不同行業(yè)、不同的業(yè)務(wù)系統(tǒng)存在的各種類型業(yè)務(wù)邏輯漏洞進(jìn)行安全測(cè)試總結(jié)而成的，能夠幫助讀者理解不同行業(yè)的業(yè)務(wù)系統(tǒng)涉及的業(yè)務(wù)安全漏洞的特點(diǎn)。具體來(lái)說，技術(shù)篇主要介紹登錄認(rèn)證模塊測(cè)試、業(yè)務(wù)辦理模塊測(cè)試、業(yè)務(wù)授權(quán)訪問模塊測(cè)試、輸入/輸出模塊測(cè)試、回退模塊測(cè)試、驗(yàn)證碼機(jī)制測(cè)試、業(yè)務(wù)數(shù)據(jù)安全測(cè)試、業(yè)務(wù)流程亂序測(cè)試、密碼找回模塊測(cè)試、業(yè)務(wù)接口模塊調(diào)用測(cè)試等內(nèi)容。實(shí)踐篇主要針對(duì)技術(shù)篇中的測(cè)試方法進(jìn)行相關(guān)典型案例的測(cè)試總結(jié)，包括賬號(hào)安全案例總結(jié)、密碼找回案例總結(jié)、越權(quán)訪問案例、OAuth 2.0案例總結(jié)、在線支付安全案例總結(jié)等。通過對(duì)本書的學(xué)習(xí)，讀者可以很好地掌握業(yè)務(wù)安全層面的安全測(cè)試技術(shù)，并且可以協(xié)助企業(yè)規(guī)避業(yè)務(wù)安全層面的安全風(fēng)險(xiǎn)。本書比較適合作為企業(yè)專職安全人員、研發(fā)人員、普通高等院校網(wǎng)絡(luò)空間安全學(xué)科的教學(xué)用書和參考書，以及作為網(wǎng)絡(luò)安全愛好者的自學(xué)用書。

作者簡(jiǎn)介

　　陳曉光恒安嘉新（北京）科技股份公司執(zhí)行總裁，資深安全專家，畢業(yè)于北京郵電大學(xué)信息安全專業(yè)。長(zhǎng)期從事網(wǎng)絡(luò)與信息安全方面的技術(shù)研究、項(xiàng)目管理和市場(chǎng)拓展工作。曾主導(dǎo)和參與多項(xiàng)重大國(guó)家標(biāo)準(zhǔn)、國(guó)家863 項(xiàng)目和242 安全課題；建設(shè)了多個(gè)全國(guó)性安全系統(tǒng)工程；為電信、金融和政府等多個(gè)行業(yè)提供安全建議。在安全風(fēng)險(xiǎn)評(píng)估、安全管理體系、安全標(biāo)準(zhǔn)、移動(dòng)互聯(lián)網(wǎng)安全和通信安全等領(lǐng)域有著豐富的實(shí)踐經(jīng)驗(yàn)。擁有CISSP、CISA、ISO27001 LA 等多項(xiàng)國(guó)際安全從業(yè)資質(zhì)。胡兵恒安嘉新（北京）科技股份公司安全攻防與應(yīng)急響應(yīng)中心總經(jīng)理。負(fù)責(zé)公司安全產(chǎn)品解決方案、安全攻防技術(shù)研究、安全咨詢服務(wù)等工作。多年來(lái)，一直致力于安全攻防技術(shù)的研究，曾參與國(guó)家信息安全有關(guān)部門、各大電信運(yùn)營(yíng)商、高校多個(gè)課題研究項(xiàng)目。帶領(lǐng)安全研究團(tuán)隊(duì)支撐“中國(guó)反網(wǎng)絡(luò)病毒聯(lián)盟平臺(tái)ANVA”、“國(guó)家信息安全漏洞共享平臺(tái)CNVD”運(yùn)營(yíng)工作，以及承擔(dān)國(guó)家重要活動(dòng)期間的安全保障工作。張作峰（Rce）恒安嘉新（北京）科技股份公司安全攻防與應(yīng)急響應(yīng)中心副總經(jīng)理、軒轅攻防實(shí)驗(yàn)室團(tuán)隊(duì)負(fù)責(zé)人、安全專家、互聯(lián)網(wǎng)白帽子，原啟明星辰資深安全研究員。十余年網(wǎng)絡(luò)安全服務(wù)、安全研究、應(yīng)急保障工作經(jīng)驗(yàn)，在職期間參與完成了多個(gè)大型安全服務(wù)、集成、安全課題項(xiàng)目，以及多次國(guó)家重要活動(dòng)的網(wǎng)絡(luò)安全應(yīng)急保障任務(wù)。

圖書目錄

理論篇
第1章網(wǎng)絡(luò)安全法律法規(guī) 2
第2章業(yè)務(wù)安全引發(fā)的思考 8
2．1 行業(yè)安全問題的思考 8
2．2 如何更好地學(xué)習(xí)業(yè)務(wù)安全 9
第3章業(yè)務(wù)安全測(cè)試?yán)碚?11
3．1 業(yè)務(wù)安全測(cè)試概述 11
3．2 業(yè)務(wù)安全測(cè)試模型 12
3．3 業(yè)務(wù)安全測(cè)試流程 13
3．4 業(yè)務(wù)安全測(cè)試參考標(biāo)準(zhǔn) 18
3．5 業(yè)務(wù)安全測(cè)試要點(diǎn) 18
技術(shù)篇
第4章登錄認(rèn)證模塊測(cè)試 22
4．1 暴力破解測(cè)試 22
4．1．1 測(cè)試原理和方法 22
4．1．2 測(cè)試過程 22
4．1．3 修復(fù)建議 30
4．2 本地加密傳輸測(cè)試 30
4．2．1 測(cè)試原理和方法 30
4．2．2 測(cè)試過程 30
4．2．3 修復(fù)建議 32
4．3 Session測(cè)試 32
4．3．1 Session會(huì)話固定測(cè)試 32
4．3．2 Seesion會(huì)話注銷測(cè)試 35
4．3．3 Seesion會(huì)話超時(shí)時(shí)間測(cè)試 39
4．4 Cookie仿冒測(cè)試 42
4．4．1 測(cè)試原理和方法 42
4．4．2 測(cè)試過程 42
4．4．3 修復(fù)建議 45
4．5 密文比對(duì)認(rèn)證測(cè)試 45
4．5．1 測(cè)試原理和方法 45
4．5．2 測(cè)試過程 45
4．5．3 修復(fù)建議 48
4．6 登錄失敗信息測(cè)試 48
4．6．1 測(cè)試原理和方法 48
4．6．2 測(cè)試過程 49
4．6．3 修復(fù)建議 50
第5章業(yè)務(wù)辦理模塊測(cè)試 51
5．1 訂單ID篡改測(cè)試 51
5．1．1 測(cè)試原理和方法 51
5．1．2 測(cè)試過程 51
5．1．3 修復(fù)建議 55
5．2 手機(jī)號(hào)碼篡改測(cè)試 55
5．2．1 測(cè)試原理和方法 55
5．2．2 測(cè)試過程 56
5．2．3 修復(fù)建議 57
5．3 用戶ID篡改測(cè)試 58
5．3．1 測(cè)試原理和方法 58
5．3．2 測(cè)試過程 58
5．3．3 修復(fù)建議 60
5．4 郵箱和用戶篡改測(cè)試 60
5．4．1 測(cè)試原理和方法 60
5．4．2 測(cè)試過程 61
5．4．3 修復(fù)建議 62
5．5 商品編號(hào)篡改測(cè)試 63
5．5．1 測(cè)試原理和方法 63
5．5．2 測(cè)試過程 63
5．5．3 修復(fù)建議 65
5．6 競(jìng)爭(zhēng)條件測(cè)試 66
5．6．1 測(cè)試原理和方法 66
5．6．2 測(cè)試過程 67
5．6．3 修復(fù)建議 69
第6章業(yè)務(wù)授權(quán)訪問模塊 70
6．1 非授權(quán)訪問測(cè)試 70
6．1．1 測(cè)試原理和方法 70
6．1．2 測(cè)試過程 70
6．1．3 修復(fù)建議 71
6．2 越權(quán)測(cè)試 72
6．2．1 測(cè)試原理和方法 72
6．2．2 測(cè)試過程 72
6．2．3 修復(fù)建議 76
第7章輸入/輸出模塊測(cè)試 77
7．1 SQL注入測(cè)試 77
7．1．1 測(cè)試原理和方法 77
7．1．2 測(cè)試過程 78
7．1．3 修復(fù)建議 84
7．2 XSS測(cè)試 84
7．2．1 測(cè)試原理和方法 84
7．2．2 測(cè)試過程 85
7．2．3 修復(fù)建議 88
7．3 命令執(zhí)行測(cè)試 89
7．3．1 測(cè)試原理和方法 89
7．3．2 測(cè)試過程 89
7．3．3 修復(fù)建議 91
第8章回退模塊測(cè)試 92
8．1 回退測(cè)試 92
8．1．1 測(cè)試原理和方法 92
8．1．2 測(cè)試過程 92
8．1．3 修復(fù)建議 93
第9章驗(yàn)證碼機(jī)制測(cè)試 94
9．1 驗(yàn)證碼暴力破解測(cè)試 94
9．1．1 測(cè)試原理和方法 94
9．1．2 測(cè)試過程 94
9．1．3 修復(fù)建議 97
9．2 驗(yàn)證碼重復(fù)使用測(cè)試 97
9．2．1 測(cè)試原理和方法 97
9．2．2 測(cè)試過程 98
9．2．3 修復(fù)建議 100
9．3 驗(yàn)證碼客戶端回顯測(cè)試 101
9．3．1 測(cè)試原理和方法 101
9．3．2 測(cè)試過程 101
9．3．3 修復(fù)建議 104
9．4 驗(yàn)證碼繞過測(cè)試 104
9．4．1 測(cè)試原理和方法 104
9．4．2 測(cè)試過程 104
9．4．3 修復(fù)建議 106
9．5 驗(yàn)證碼自動(dòng)識(shí)別測(cè)試 106
9．5．1 測(cè)試原理和方法 106
9．5．2 測(cè)試過程 107
9．5．3 修復(fù)建議 111
第10章業(yè)務(wù)數(shù)據(jù)安全測(cè)試 112
10．1 商品支付金額篡改測(cè)試 112
10．1．1 測(cè)試原理和方法 112
10．1．2 測(cè)試過程 112
10．1．3 修復(fù)建議 115
10．2 商品訂購(gòu)數(shù)量篡改測(cè)試 115
10．2．1 測(cè)試原理和方法 115
10．2．2 測(cè)試過程 115
10．2．3 修復(fù)建議 120
10．3 前端JS限制繞過測(cè)試 121
10．3．1 測(cè)試原理和方法 121
10．3．2 測(cè)試過程 121
10．3．3 修復(fù)建議 123
10．4 請(qǐng)求重放測(cè)試 123
10．4．1 測(cè)試原理和方法 123
10．4．2 測(cè)試過程 123
10．4．3 修復(fù)建議 125
10．5 業(yè)務(wù)上限測(cè)試 126
10．5．1 測(cè)試原理和方法 126
10．5．2 測(cè)試過程 126
10．5．3 修復(fù)建議 128
第11章業(yè)務(wù)流程亂序測(cè)試 129
11．1 業(yè)務(wù)流程繞過測(cè)試 129
11．1．1 測(cè)試原理和方法 129
11．1．2 測(cè)試過程 129
11．1．3 修復(fù)建議 133
第12章密碼找回模塊測(cè)試 134
12．1 驗(yàn)證碼客戶端回顯測(cè)試 134
12．1．1 測(cè)試原理和方法 134
12．1．2 測(cè)試流程 134
12．1．3 修復(fù)建議 137
12．2 驗(yàn)證碼暴力破解測(cè)試 137
12．2．1 測(cè)試原理和方法 137
12．2．2 測(cè)試流程 137
12．2．3 修復(fù)建議 140
12．3 接口參數(shù)賬號(hào)修改測(cè)試 140
12．3．1 測(cè)試原理和方法 140
12．3．2 測(cè)試流程 141
12．3．3 修復(fù)建議 144
12．4 Response狀態(tài)值修改測(cè)試 144
12．4．1 測(cè)試原理和方法 144
12．4．2 測(cè)試流程 144
12．4．3 修復(fù)建議 147
12．5 Session覆蓋測(cè)試 147
12．5．1 測(cè)試原理和方法 147
12．5．2 測(cè)試流程 148
12．5．3 修復(fù)建議 150
12．6 弱Token設(shè)計(jì)缺陷測(cè)試 150
12．6．1 測(cè)試原理和方法 150
12．6．2 測(cè)試流程 151
12．6．3 修復(fù)建議 153
12．7 密碼找回流程繞過測(cè)試 153
12．7．1 測(cè)試原理和方法 153
12．7．2 測(cè)試流程 154
12．7．3 修復(fù)建議 157
第13章業(yè)務(wù)接口調(diào)用模塊測(cè)試 158
13．1 接口調(diào)用重放測(cè)試 158
13．1．1 測(cè)試原理和方法 158
13．1．2 測(cè)試過程 158
13．1．3 修復(fù)建議 160
13．2 接口調(diào)用遍歷測(cè)試 160
13．2．1 測(cè)試原理和方法 160
13．2．2 測(cè)試過程 161
13．2．3 修復(fù)建議 166
13．3 接口調(diào)用參數(shù)篡改測(cè)試 167
13．3．1 測(cè)試原理和方法 167
13．3．2 測(cè)試過程 167
13．3．3 修復(fù)建議 169
13．4 接口未授權(quán)訪問/調(diào)用測(cè)試 169
13．4．1 測(cè)試原理和方法 169
13．4．2 測(cè)試過程 170
13．4．3 修復(fù)建議 172
13．5 Callback自定義測(cè)試 172
13．5．1 測(cè)試原理和方法 172
13．5．2 測(cè)試過程 173
13．5．3 修復(fù)建議 177
13．6 WebService測(cè)試 177
13．6．1 測(cè)試原理和方法 177
13．6．2 測(cè)試過程 177
13．6．3 修復(fù)建議 184
實(shí)踐篇
第14章賬號(hào)安全案例總結(jié) 186
14．1 賬號(hào)安全歸納 186
14．2 賬號(hào)安全相關(guān)案例 187
14．1．1 賬號(hào)密碼直接暴露在互聯(lián)網(wǎng)上 187
14．1．2 無(wú)限制登錄任意賬號(hào) 189
14．1．3 電子郵件賬號(hào)泄露事件 192
14．1．4 中間人攻擊 195
14．1．5 撞庫(kù)攻擊 197
14．3 防范賬號(hào)泄露的相關(guān)手段 199
第15章密碼找回安全案例總結(jié) 200
15．1 密碼找回憑證可被暴力破解 200
15．1．1 某社交軟件任意密碼修改案例 201
15．2 密碼找回憑證直接返回給客戶端 203
15．2．1 密碼找回憑證暴露在請(qǐng)求鏈接中 204
15．2．2 加密驗(yàn)證字符串返回給客戶端 205
15．2．3 網(wǎng)頁(yè)源代碼中隱藏著密保答案 206
15．2．4 短信驗(yàn)證碼返回給客戶端 207
15．3 密碼重置鏈接存在弱Token 209
15．3．1 使用時(shí)間戳的md5作為密碼重置Token 209
15．3．2 使用服務(wù)器時(shí)間作為密碼重置Token 210
15．4 密碼重置憑證與用戶賬戶關(guān)聯(lián)不嚴(yán) 211
15．4．1 使用短信驗(yàn)證碼找回密碼 212
15．4．2 使用郵箱Token找回密碼 213
15．5 重新綁定用戶手機(jī)或郵箱 213
15．5．1 重新綁定用戶手機(jī) 214
15．5．2 重新綁定用戶郵箱 215
15．6 服務(wù)端驗(yàn)證邏輯缺陷 216
15．6．1 刪除參數(shù)繞過驗(yàn)證 217
15．6．2 郵箱地址可被操控 218
15．6．3 身份驗(yàn)證步驟可被繞過 219
15．7 在本地驗(yàn)證服務(wù)端的返回信息――修改返回包繞過驗(yàn)證 221
15．8 注冊(cè)覆蓋――已存在用戶可被重復(fù)注冊(cè) 222
15．9 Session覆蓋――某電商網(wǎng)站可通過Session覆蓋方式重置他人密碼 223
15．10 防范密碼找回漏洞的相關(guān)手段 225
第16章越權(quán)訪問安全案例總結(jié) 227
16．1 平行越權(quán) 227
16．1．1 某高校教務(wù)系統(tǒng)用戶可越權(quán)查看其他用戶個(gè)人信息 227
16．1．2 某電商網(wǎng)站用戶可越權(quán)查看或修改其他用戶信息 229
16．1．3 某手機(jī)APP普通用戶可越權(quán)查看其他用戶個(gè)人信息 232
16．2 縱向越權(quán) 233
16．2．1 某辦公系統(tǒng)普通用戶權(quán)限越權(quán)提升為系統(tǒng)權(quán)限 233
16．2．2 某中學(xué)網(wǎng)站管理后臺(tái)可越權(quán)添加管理員賬號(hào) 235
16．2．3 某智能機(jī)頂盒低權(quán)限用戶可越權(quán)修改超級(jí)管理員配置信息 240
16．2．4 某Web防火墻通過修改用戶對(duì)應(yīng)菜單類別可提升權(quán)限 244
16．3 防范越權(quán)訪問漏洞的相關(guān)手段 247
第17章 OAuth 2．0安全案例總結(jié) 248
17．1 OAuth 2．0認(rèn)證原理 248
17．2 OAuth 2．0漏洞總結(jié) 250
17．2．1 某社交網(wǎng)站CSRF漏洞導(dǎo)致綁定劫持 250
17．2．2 某社區(qū)劫持授權(quán) 251
17．3 防范OAuth 2．0漏洞的相關(guān)手段 253
第18章在線支付安全案例總結(jié) 254
18．1 某快餐連鎖店官網(wǎng)訂單金額篡改 254
18．2 某網(wǎng)上商城訂單數(shù)量篡改 256
18．3 某服務(wù)器供應(yīng)商平臺(tái)訂單請(qǐng)求重放測(cè)試 257
18．4 某培訓(xùn)機(jī)構(gòu)官網(wǎng)訂單其他參數(shù)干擾測(cè)試 259
18．5 防范在線支付漏洞的相關(guān)手段 261