Web應(yīng)用漏洞偵測與防御：揭秘鮮為人知的攻擊手段和防御技術(shù)

定　價(jià)：￥69.00

作　者：	（美）Mike Shema 著；齊寧，龐建民張錚，單征譯
出版社：	機(jī)械工業(yè)出版社
叢編項(xiàng)：	信息安全技術(shù)叢書
標(biāo)　簽：	編程語言與程序設(shè)計(jì) 計(jì)算機(jī)與互聯(lián)網(wǎng)

購買這本書可以去

ISBN：	9787111472537	出版時(shí)間：	2014-08-01	包裝：	平裝
開本：	16開	頁數(shù)：	273	字?jǐn)?shù)：

內(nèi)容簡介

　　本書作者是國際知名網(wǎng)絡(luò)安全專家，揭示最危險(xiǎn)的Web攻擊，以及解決方案。全面講解如何預(yù)防常見的網(wǎng)絡(luò)攻擊，包括：HTML注入及跨站腳本攻擊、跨站請(qǐng)求偽造攻擊、SQL注入攻擊及數(shù)據(jù)存儲(chǔ)操縱、攻破身份認(rèn)證模式、利用設(shè)計(jì)缺陷、利用平臺(tái)弱點(diǎn)、攻擊瀏覽器和隱私等。書中對(duì)HTML5標(biāo)準(zhǔn)中與安全相關(guān)的主要API和特性進(jìn)行了介紹，針對(duì)每一種攻擊方式，不僅探究其攻擊方法、機(jī)理及影響，而且還給出可能采取的應(yīng)對(duì)措施。有助于讀者了解如何對(duì)Web應(yīng)用從多角度實(shí)施安全保護(hù)，做到防患于未然，使得網(wǎng)站擁有者或網(wǎng)站開發(fā)人員有信心面對(duì)安全相關(guān)的威脅與挑戰(zhàn)。

作者簡介

　　Mike Shema，國際知名的網(wǎng)絡(luò)安全專家，現(xiàn)就職于Qualys，專注于自動(dòng)化Web評(píng)估服務(wù)。之前曾是Foundstone信息安全咨詢公司首席咨詢師和培訓(xùn)師，在網(wǎng)絡(luò)滲透測試、無線網(wǎng)絡(luò)安全、代碼審核、Web安全等方面有豐富的經(jīng)驗(yàn)，撰寫了多部信息安全技術(shù)圖書，如《黑客大曝光：Web應(yīng)用安全機(jī)密與解決方案》、《反黑客工具箱》和《黑客札記：Web安全手冊(cè)》，并經(jīng)常在世界范圍的安全技術(shù)大會(huì)上演講。齊寧，解放軍信息工程大學(xué)博士，曾講授課程有“信息安全”“網(wǎng)絡(luò)原理與實(shí)踐”等，曾參研國家重大專項(xiàng)611工程、國家863項(xiàng)目等，涉及漏洞發(fā)現(xiàn)技術(shù)、逆向分析技術(shù)、高性能計(jì)算機(jī)體系結(jié)構(gòu)等領(lǐng)域。

圖書目錄

譯者序
前　言
第1章　HTML5 1
1.1　新的文檔對(duì)象模型 2
1.2　跨域資源共享 3
1.3　Websocket 6
1.3.1　傳輸數(shù)據(jù) 9
1.3.2　數(shù)據(jù)幀 10
1.3.3　安全性考慮 12
1.4　Web存儲(chǔ) 13
1.5　Web Worker 15
1.6　雜七雜八 18
1.6.1　History API 18
1.6.2　API草案 18
1.7　小結(jié) 18
第2章　HTML注入及跨站腳本攻擊 20
2.1　理解HTML注入 21
2.1.1　確定注入點(diǎn) 26
2.1.2　確定反射類型 33
2.1.3　確定注入呈現(xiàn)位置的上下文 36
2.1.4　攻擊匯總 40
2.1.5　利用字符集 42
2.1.6　利用失效模式 49
2.1.7　繞過弱的排除列表 52
2.1.8　利用瀏覽器的怪異模式 53
2.1.9　不尋常的攻擊載體 55
2.1.10　XSS的影響 58
2.2　部署應(yīng)對(duì)措施 59
2.2.1　確定靜態(tài)字符集 60
2.2.2　規(guī)范化字符集及編碼 61
2.2.3　對(duì)輸出進(jìn)行編碼 62
2.2.4　當(dāng)心排除列表和正則表達(dá)式 63
2.2.5　重用代碼，不要重新實(shí)現(xiàn)代碼 64
2.2.6　JavaScript沙盒 65
2.2.7　瀏覽器內(nèi)置XSS防御 67
2.3　小結(jié) 69
第3章　跨站請(qǐng)求偽造 70
3.1　理解跨站請(qǐng)求偽造 71
3.1.1　CSRF實(shí)現(xiàn)機(jī)制 73
3.1.2　借助強(qiáng)制瀏覽的請(qǐng)求偽造 76
3.1.3　無需密碼攻擊已認(rèn)證動(dòng)作 79
3.1.4　危險(xiǎn)關(guān)系：CSRF和HTML注入 79
3.1.5　當(dāng)心錯(cuò)綜復(fù)雜的Web 80
3.1.6　相關(guān)主題：點(diǎn)擊劫持 81
3.2　部署應(yīng)對(duì)措施 82
3.2.1　朝著正確方向努力 83
3.2.2　保衛(wèi)Web瀏覽器 91
3.2.3　脆弱性和似真性 92
3.3　小結(jié) 92
第4章　SQL注入攻擊及數(shù)據(jù)存儲(chǔ)操縱 94
4.1　理解SQL注入 96
4.1.1　攻擊路線：數(shù)學(xué)和語法 99
4.1.2　攻擊SQL語句 99
4.1.3　剖析數(shù)據(jù)庫 107
4.1.4　其他攻擊向量 110
4.1.5　真實(shí)世界中的SQL注入攻擊 111
4.1.6　HTML5的Web存儲(chǔ)API 112
4.1.7　不使用SQL的SQL注入攻擊 113
4.2　部署應(yīng)對(duì)措施 114
4.2.1　驗(yàn)證輸入 115
4.2.2　對(duì)語句進(jìn)行保護(hù) 115
4.2.3　保護(hù)信息 121
4.2.4　給數(shù)據(jù)庫打最新的補(bǔ)丁 123
4.3　小結(jié) 123
第5章　攻破身份認(rèn)證模式 125
5.1　理解身份認(rèn)證攻擊 126
5.1.1　重放會(huì)話令牌 126
5.1.2　暴力破解 129
5.1.3　網(wǎng)絡(luò)嗅探 130
5.1.4　重置密碼 132
5.1.5　跨站腳本攻擊 133
5.1.6　SQL注入 133
5.1.7　詐騙和易受騙性 134
5.2　部署應(yīng)對(duì)措施 135
5.2.1　保護(hù)會(huì)話cookie 135
5.2.2　使用安全認(rèn)證方案 137
5.2.3　借助用戶的力量 144
5.2.4　騷擾用戶 145
5.2.5　請(qǐng)求限制 146
5.2.6　日志與三角測量 147
5.2.7　擊敗釣魚攻擊 147
5.2.8　保護(hù)密碼 148
5.3　小結(jié) 148
第6章　利用設(shè)計(jì)缺陷 150
6.1　理解邏輯攻擊和設(shè)計(jì)攻擊 153
6.1.1　利用工作流 153
6.1.2　漏洞利用的策略及做法 154
6.1.3　歸納法 158
6.1.4　拒絕服務(wù) 160
6.1.5　不安全的設(shè)計(jì)模式 161
6.1.6　加密中的實(shí)現(xiàn)錯(cuò)誤 165
6.1.7　信息泄露 177
6.2　部署應(yīng)對(duì)措施 178
6.2.1　記錄需求 178
6.2.2　創(chuàng)建強(qiáng)健的測試用例 178
6.2.3　把策略映射到控制 180
6.2.4　防御性編程 180
6.2.5　驗(yàn)證客戶端 181
6.2.6　加密指南 181
6.3　小結(jié) 182
第7章　利用平臺(tái)弱點(diǎn) 183
7.1　攻擊是如何實(shí)現(xiàn)的 184
7.1.1　識(shí)別模式、數(shù)據(jù)結(jié)構(gòu)以及開發(fā)者癖好 184
7.1.2　以操作系統(tǒng)為攻擊目標(biāo) 197
7.1.3　攻擊服務(wù)器 202
7.1.4　拒絕服務(wù) 202
7.2　部署應(yīng)對(duì)措施 206
7.2.1　限制文件訪問 207
7.2.2　使用對(duì)象引用 207
7.2.3　將不安全函數(shù)列入到黑名單 208
7.2.4　強(qiáng)制授權(quán) 208
7.2.5　限制網(wǎng)絡(luò)連接 208
7.3　小結(jié) 209
第8章　攻擊瀏覽器和隱私 210
8.1　理解惡意軟件和瀏覽器攻擊 211
8.1.1　惡意軟件 211
8.1.2　插入到瀏覽器插件中 215
8.1.3　DNS和域 217
8.1.4　HTML5 217
8.1.5　隱私 219
8.2　部署應(yīng)對(duì)措施 227
8.2.1　安全地配置SSL/TLS 227
8.2.2　更加安全地瀏覽網(wǎng)頁 228
8.2.3　隔離瀏覽器 229
8.2.4　Tor 229
8.2.5　DNSSEC 230
8.3　小結(jié) 230