Mike Shema《Web应用漏洞侦测与防御》
书刊介绍
内容简介
本书由国际知名网络安全专家亲笔撰写，全面讲解如何预防常见的网络攻击，包括HTML注入及跨站脚本攻击、跨站请求伪造攻击、SQL注入攻击及数据存储操纵、攻破身份认证模式、利用设计缺陷、利用平台弱点、攻击浏览器和隐私等，
全书共8章：第1章介绍HTML5的新增特性及使用和滥用HTML5的安全考虑；第2章展示了如何只通过浏览器和最基本的HTML知识就可以利用Web中最常见的漏洞；第3章详细讲解CSRF（跨站请求伪造）攻击的实现机制及应对策略；第4章介绍如何执行SQL注入攻击，并探究了类似攻击的实现机制，提供一些阻止这些攻击的对策；第5章介绍Web站点保护密码失败的常见方式以及阻止这些攻击所能采取的步骤；第6章主要探讨网站底层设计中会导致漏洞的错误；第7章不仅介绍了应用程序代码可能引发的错误，还介绍了除此之外不应当忽略的其他安全性问题；第8章将探讨更多浏览器面临的来自恶意设计的网页或者已经感染了恶意内容网页的风险。
作品目录
译者序
前言
第1章 HTML5 1
1.1 新的文档对象模型 2
1.2 跨域资源共享 3
1.3 Websocket 6
1.3.1 传输数据 9
1.3.2 数据帧 10
1.3.3 安全性考虑 12
1.4 Web存储 13
1.5 Web Worker 15
1.6 杂七杂八 18
1.6.1 History API 18
1.6.2 API草案 18
1.7 小结 18
第2章 HTML注入及跨站脚本攻击 20
2.1 理解HTML注入 21
2.1.1 确定注入点 26
2.1.2 确定反射类型 33
2.1.3 确定注入呈现位置的上下文 36
2.1.4 攻击汇总 40
2.1.5 利用字符集 42
2.1.6 利用失效模式 49
2.1.7 绕过弱的排除列表 52
2.1.8 利用浏览器的怪异模式 53
2.1.9 不寻常的攻击载体 55
2.1.10 XSS的影响 58
2.2 部署应对措施 59
2.2.1 确定静态字符集 60
2.2.2 规范化字符集及编码 61
2.2.3 对输出进行编码 62
2.2.4 当心排除列表和正则表达式 63
2.2.5 重用代码，不要重新实现代码 64
2.2.6 JavaScript沙盒 65
2.2.7 浏览器内置XSS防御 67
2.3 小结 69
第3章 跨站请求伪造 70
3.1 理解跨站请求伪造 71
3.1.1 CSRF实现机制 73
3.1.2 借助强制浏览的请求伪造 76
3.1.3 无需密码攻击已认证动作 79
3.1.4 危险关系：CSRF和HTML注入 79
3.1.5 当心错综复杂的Web 80
3.1.6 相关主题：点击劫持 81
3.2 部署应对措施 82
3.2.1 朝着正确方向努力 83
3.2.2 保卫Web浏览器 91
3.2.3 脆弱性和似真性 92
3.3 小结 92
第4章 SQL注入攻击及数据存储操纵 94
4.1 理解SQL注入 96
4.1.1 攻击路线：数学和语法 99
4.1.2 攻击SQL语句 99
4.1.3 剖析数据库 107
4.1.4 其他攻击向量 110
4.1.5 真实世界中的SQL注入攻击 111
4.1.6 HTML5的Web存储API 112
4.1.7 不使用SQL的SQL注入攻击 113
4.2 部署应对措施 114
4.2.1 验证输入 115
4.2.2 对语句进行保护 115
4.2.3 保护信息 121
4.2.4 给数据库打最新的补丁 123
4.3 小结 123
第5章 攻破身份认证模式 125
5.1 理解身份认证攻击 126
5.1.1 重放会话令牌 126
5.1.2 暴力破解 129
5.1.3 网络嗅探 130
5.1.4 重置密码 132
5.1.5 跨站脚本攻击 133
5.1.6 SQL注入 133
5.1.7 诈骗和易受骗性 134
5.2 部署应对措施 135
5.2.1 保护会话cookie 135
5.2.2 使用安全认证方案 137
5.2.3 借助用户的力量 144
5.2.4 骚扰用户 145
5.2.5 请求限制 146
5.2.6 日志与三角测量 147
5.2.7 击败钓鱼攻击 147
5.2.8 保护密码 148
5.3 小结 148
第6章 利用设计缺陷 150
6.1 理解逻辑攻击和设计攻击 153
6.1.1 利用工作流 153
6.1.2 漏洞利用的策略及做法 154
6.1.3 归纳法 158
6.1.4 拒绝服务 160
6.1.5 不安全的设计模式 161
6.1.6 加密中的实现错误 165
6.1.7 信息泄露 177
6.2 部署应对措施 178
6.2.1 记录需求 178
6.2.2 创建强健的测试用例 178
6.2.3 把策略映射到控制 180
6.2.4 防御性编程 180
6.2.5 验证客户端 181
6.2.6 加密指南 181
6.3 小结 182
第7章 利用平台弱点 183
7.1 攻击是如何实现的 184
7.1.1 识别模式、数据结构以及开发者癖好 184
7.1.2 以操作系统为攻击目标 197
7.1.3 攻击服务器 202
7.1.4 拒绝服务 202
7.2 部署应对措施 206
7.2.1 限制文件访问 207
7.2.2 使用对象引用 207
7.2.3 将不安全函数列入到黑名单 208
7.2.4 强制授权 208
7.2.5 限制网络连接 208
7.3 小结 209
第8章 攻击浏览器和隐私 210
8.1 理解恶意软件和浏览器攻击 211
8.1.1 恶意软件 211
8.1.2 插入到浏览器插件中 215
8.1.3 DNS和域 217
8.1.4 HTML5 217
8.1.5 隐私 219
8.2 部署应对措施 227
8.2.1 安全地配置SSL/TLS 227
8.2.2 更加安全地浏览网页 228
8.2.3 隔离浏览器 229
8.2.4 Tor 229
8.2.5 DNSSEC 230
8.3 小结 230
相关推荐
-
守望一朵花开
《守望一朵花开》内容简介：《每天读点好英文：守望一朵花开》内容简介：：“每天读点好英文”系列升级版是专为有提高英文水平需要和
-
我自我的田渠归来
《我自我的田渠归来》内容简介：“中国当代十大散文家”张晓风精选散文集，部分内容首次大陆出版。本书内容由作者亲自编排，依据宋
-
戚利《Windows PE权威指南》
内容全面，详尽地剖析了WindowsPE文件格式的原理及其编程技术，涉及安全领域的各个方面和Windows系统的进程管理和底层机制；实战
-
Jack Herrington D《PHP Hacks》
Programmersloveitsflexibilityandspeed;designersloveitsaccessibilityandconvenienc...
-
胡中为《普通天文学》
全书系统地介绍现代天文知识。绪论简介天文学的发展和字宙概观。用十二章依次阐述天球和星空、天体运动和距离测量、天体辐射和天
-
财富自由从0到1
《财富自由从0到1》内容简介：个人的财富自由，可以通过资产的多样化配置、改变理财思维和习惯实现。想让自己的财富保值增值，人们
-
付出比能力更重要
《付出比能力更重要》内容简介：本书能力并非成功的决定因素，能力并不能作为一个人的优势，只是相对优势，只有肯付出的人，才能到
-
利伯帝,《21天学通C++》
本书是根据2003年的ISO／ANSIC++标准编写的，通过大量短小精悍的范例程序详细而全面地阐述了C十+的基本概念和技术，包括控制输入
-
计算机公共课考点分析与题解-(第二版)
计算机公共课考点分析与题解-(第二版) 本书特色 《计算机公共课考点分析与题解(第2版)》：普通高等教育“十一五”规划教材。精炼知识，直击考点讲解透彻，重点突破...
-
金融的逻辑（套装共2册）
《金融的逻辑（套装共2册）》内容简介：《金融的逻辑》（上、下）是陈志武教授关于金融的发展历史、演变、影响和作用的一部作品，由
-
当代西方政治哲学
《当代西方政治哲学》内容简介：本书理论前沿、理路清晰，学术性较强，文风朴实，以当代西方最著名的八位政治哲学家的政治哲学理论
-
软萌可爱色铅笔涂画教程
《软萌可爱色铅笔涂画教程》内容简介：总觉得用色铅笔画的东西不够可爱，用色不够靓丽，被五花八门的色铅笔教程挑花了眼？这本本书
-
每个妈妈都是创意家
《每个妈妈都是创意家》内容简介：本书从“艺术培养”“母女关系”“哲学思维”“旅行与性格”“职业培养”等方面，展示了作者在20
-
中国当代经典电影赏析
《中国当代经典电影赏析》内容简介：本书是南京大学国际化合作项目“一带一路国家中国文化教学合作研究”的成果，主要针对中高级汉
-
超级学习（全4册）
《超级学习（全4册）》内容简介：不断⾃我提升，需要⼀个有效的学习模型，包括知识、能力、路径等，本书提供了一系列⾏之有效的学习
-
药品监管制度的法律改革
《药品监管制度的法律改革》内容简介：本书融合行政法学、政府监管、公共治理理论和药品监管实践，以法律与社会的互动、法律的实际
-
陈天河《Struts Hibernate Spring集成开发宝典》
《StrutsHibernateSpring集成开发宝典》以Struts，Hibernate，Spring为核心详细地讲解了这三个组件的基础知识和基本使用方法，...
-
随园食单
《随园食单》内容简介：本书出自乾隆才子、诗坛盟主的袁枚之手，是清代一部非常重要的美食名著。袁枚以随笔的形式，细腻地描摹了乾
-
刘宝玲|付长东《3G移动通信系统概述》
《信息产业部3G移动通信培训指定教材•3G移动通信系统概述》是为了帮助读者了解和掌握第三代移动通信系统三大主流技术的相关基础知
-
Java Web程序设计
《Java Web程序设计》内容简介：本书以Web开发流程为主线，让读者了解真实的Web开发过程，体会规范化、标准化、专业化的软件开发流
