Mike Shema《Web应用漏洞侦测与防御》
书刊介绍
内容简介
本书由国际知名网络安全专家亲笔撰写，全面讲解如何预防常见的网络攻击，包括HTML注入及跨站脚本攻击、跨站请求伪造攻击、SQL注入攻击及数据存储操纵、攻破身份认证模式、利用设计缺陷、利用平台弱点、攻击浏览器和隐私等，
全书共8章：第1章介绍HTML5的新增特性及使用和滥用HTML5的安全考虑；第2章展示了如何只通过浏览器和最基本的HTML知识就可以利用Web中最常见的漏洞；第3章详细讲解CSRF（跨站请求伪造）攻击的实现机制及应对策略；第4章介绍如何执行SQL注入攻击，并探究了类似攻击的实现机制，提供一些阻止这些攻击的对策；第5章介绍Web站点保护密码失败的常见方式以及阻止这些攻击所能采取的步骤；第6章主要探讨网站底层设计中会导致漏洞的错误；第7章不仅介绍了应用程序代码可能引发的错误，还介绍了除此之外不应当忽略的其他安全性问题；第8章将探讨更多浏览器面临的来自恶意设计的网页或者已经感染了恶意内容网页的风险。
作品目录
译者序
前言
第1章 HTML5 1
1.1 新的文档对象模型 2
1.2 跨域资源共享 3
1.3 Websocket 6
1.3.1 传输数据 9
1.3.2 数据帧 10
1.3.3 安全性考虑 12
1.4 Web存储 13
1.5 Web Worker 15
1.6 杂七杂八 18
1.6.1 History API 18
1.6.2 API草案 18
1.7 小结 18
第2章 HTML注入及跨站脚本攻击 20
2.1 理解HTML注入 21
2.1.1 确定注入点 26
2.1.2 确定反射类型 33
2.1.3 确定注入呈现位置的上下文 36
2.1.4 攻击汇总 40
2.1.5 利用字符集 42
2.1.6 利用失效模式 49
2.1.7 绕过弱的排除列表 52
2.1.8 利用浏览器的怪异模式 53
2.1.9 不寻常的攻击载体 55
2.1.10 XSS的影响 58
2.2 部署应对措施 59
2.2.1 确定静态字符集 60
2.2.2 规范化字符集及编码 61
2.2.3 对输出进行编码 62
2.2.4 当心排除列表和正则表达式 63
2.2.5 重用代码，不要重新实现代码 64
2.2.6 JavaScript沙盒 65
2.2.7 浏览器内置XSS防御 67
2.3 小结 69
第3章 跨站请求伪造 70
3.1 理解跨站请求伪造 71
3.1.1 CSRF实现机制 73
3.1.2 借助强制浏览的请求伪造 76
3.1.3 无需密码攻击已认证动作 79
3.1.4 危险关系：CSRF和HTML注入 79
3.1.5 当心错综复杂的Web 80
3.1.6 相关主题：点击劫持 81
3.2 部署应对措施 82
3.2.1 朝着正确方向努力 83
3.2.2 保卫Web浏览器 91
3.2.3 脆弱性和似真性 92
3.3 小结 92
第4章 SQL注入攻击及数据存储操纵 94
4.1 理解SQL注入 96
4.1.1 攻击路线：数学和语法 99
4.1.2 攻击SQL语句 99
4.1.3 剖析数据库 107
4.1.4 其他攻击向量 110
4.1.5 真实世界中的SQL注入攻击 111
4.1.6 HTML5的Web存储API 112
4.1.7 不使用SQL的SQL注入攻击 113
4.2 部署应对措施 114
4.2.1 验证输入 115
4.2.2 对语句进行保护 115
4.2.3 保护信息 121
4.2.4 给数据库打最新的补丁 123
4.3 小结 123
第5章 攻破身份认证模式 125
5.1 理解身份认证攻击 126
5.1.1 重放会话令牌 126
5.1.2 暴力破解 129
5.1.3 网络嗅探 130
5.1.4 重置密码 132
5.1.5 跨站脚本攻击 133
5.1.6 SQL注入 133
5.1.7 诈骗和易受骗性 134
5.2 部署应对措施 135
5.2.1 保护会话cookie 135
5.2.2 使用安全认证方案 137
5.2.3 借助用户的力量 144
5.2.4 骚扰用户 145
5.2.5 请求限制 146
5.2.6 日志与三角测量 147
5.2.7 击败钓鱼攻击 147
5.2.8 保护密码 148
5.3 小结 148
第6章 利用设计缺陷 150
6.1 理解逻辑攻击和设计攻击 153
6.1.1 利用工作流 153
6.1.2 漏洞利用的策略及做法 154
6.1.3 归纳法 158
6.1.4 拒绝服务 160
6.1.5 不安全的设计模式 161
6.1.6 加密中的实现错误 165
6.1.7 信息泄露 177
6.2 部署应对措施 178
6.2.1 记录需求 178
6.2.2 创建强健的测试用例 178
6.2.3 把策略映射到控制 180
6.2.4 防御性编程 180
6.2.5 验证客户端 181
6.2.6 加密指南 181
6.3 小结 182
第7章 利用平台弱点 183
7.1 攻击是如何实现的 184
7.1.1 识别模式、数据结构以及开发者癖好 184
7.1.2 以操作系统为攻击目标 197
7.1.3 攻击服务器 202
7.1.4 拒绝服务 202
7.2 部署应对措施 206
7.2.1 限制文件访问 207
7.2.2 使用对象引用 207
7.2.3 将不安全函数列入到黑名单 208
7.2.4 强制授权 208
7.2.5 限制网络连接 208
7.3 小结 209
第8章 攻击浏览器和隐私 210
8.1 理解恶意软件和浏览器攻击 211
8.1.1 恶意软件 211
8.1.2 插入到浏览器插件中 215
8.1.3 DNS和域 217
8.1.4 HTML5 217
8.1.5 隐私 219
8.2 部署应对措施 227
8.2.1 安全地配置SSL/TLS 227
8.2.2 更加安全地浏览网页 228
8.2.3 隔离浏览器 229
8.2.4 Tor 229
8.2.5 DNSSEC 230
8.3 小结 230
相关推荐
-
React Cookbook中文版：87个案例带你精通React框架
《React Cookbook中文版：87个案例带你精通React框架》内容简介：React可以帮助你便捷地创建和处理应用程序，但要掌握如何将各部分
-
人工智能与问题解决方法
人工智能与问题解决方法 内容简介 衡量人工智能的一个角度是解决问题的能力。《人工智能与问题解决方法》将我们在计算机科学、数学和人工智能课程上经常遇到的一些有趣的...
-
奚恺元《别做正常的傻瓜》
本书结合了作者十余年的教学经验，融合了诺贝尔奖得主及其他学者数十年的研究成果，用深入浅出的方法帮助你发现自己决策中的误区
-
阿拉伯国家军政关系研究
《阿拉伯国家军政关系研究》内容简介：本书以埃及、伊拉克、也门和黎巴嫩为主要案例，考察阿拉伯国家军政关系演变的轨迹和动力，分
-
法学实践（增订版）
《法学实践（增订版）》内容简介：法学到底如何实践？本书即讨论这个问题，且更多地侧重于中国的背景，同时，还包含了更广阔的理论
-
王国辉《Java Web开发实战宝典》
《JavaWeb开发实战宝典》从初学者的角度出发，通过通俗易懂的语言、丰富实用的实例，详细介绍了使用Java语言和开源框架进行Web程
-
好投资与坏投资
《好投资与坏投资》内容简介：投资背后是极其重要的生活抉择。好的投资可以让家庭生活变得轻松，让人免受辛苦劳累工作的羁绊。坏的
-
LabVLEW8.2基础教程
LabVLEW8.2基础教程 内容简介 本书介绍虚拟仪器的基本概念和在labview 8.2中文版环境中进行虚拟仪器开发的方法。全书共分10章，包括虚拟仪器与l...
-
锡德霍姆《基于Web标准的网页设计技巧与实战》
《基于Web标准的网页设计技巧与实战(第2版)》通过大量现实世界中已经存在的网页实例，由浅入深地讲解了构建遵循Web标准的网页所涉
-
世界大学排名与中国高水平大学建设
《世界大学排名与中国高水平大学建设》内容简介：世界大学排名主要通过加工处理各大学间的可比信息，以简单直观的结果反映各高校办
-
《Understanding and Deploying LDAP Directory Services》书籍《Understanding and Deploying LDAP Directory Services》
LightweightDirectoryAccessProtocol(LDAP)isthestandardfordirectoryinformationacce...
-
推开红酒的门
《推开红酒的门》内容简介：葡萄酒的世界很有趣，但是初学者往往遇上麻烦：在餐厅，看着酒单上密密麻麻的字一脸懵；面对货架上琳琅
-
日本外务省藏档（二）
《日本外务省藏档（二）》内容简介：本册文件集编纂收录的资料来自于日本亚洲历史资料中心所藏日本外务省档案和《日本外交文书》，
-
Morag Joss《Funeral Music》
InternationalcellistSaraSelkirkisapprehensiveaboutthecharityconcertinBathsfamous...
-
Stuart Marsh《Beginning GeoDjango》
LearnhowtobuildmappingapplicationsusingGeoDjango,theleadingopensourcegeographicw...
-
董其昌浚路马湖记
《董其昌浚路马湖记》内容简介：此卷全称《淮安府浚路马湖记》，纸本行楷书，高二十九点三厘米，长六百零七点五厘米，为董其昌所书
-
中国关中—天水经济区发展报告（2013）
《中国关中—天水经济区发展报告（2013）》内容简介：《中国关中—天水经济区发展报告》系教育部重点支持的研究报告之一，由 陕西师
-
匆匆
《匆匆》内容简介：本书共收录了朱自清31篇随笔、散文，他用清隽的笔调写看花、春晖的一月、扬州的夏日、荷塘月色，也写白马湖、威
-
《iPhone开发基础教程》书籍《iPhone开发基础教程》
Apple公司的iPhone已经开创了移动平台新纪元！它与AppStore的绝配也为全世界的程序员提供了一个施展才华的全新大舞台。只要有新奇
-
应急响应
《应急响应》内容简介：本书的内容将前沿的网络安全应急响应理论与一线实战经验相结合，从科普角度介绍网络安全应急响应基础知识。
