Web安全手册（黑客札记）

Web安全手册（黑客札记）
作　者： Mike Shema 谢文亮 马睿倩
出版社： 清华大学出版社
丛编项：
版权说明： 本书为公共版权或经版权方授权，请支持正版图书
标　签： 网络安全
ISBN 出版时间 包装 开本 页数 字数
未知 暂无 暂无 未知 0 暂无

作者简介

　　MikeShema是Foundstone公司的首席顾问，他为很多客户进行了几十项Web应用安全的评审，其中包括《财富》100强公司、金融机构以及大型软件开发公司。Mike有一套在大量Web应用平台上现场测试过的方法论，同时他还开发了一些自动化多方位测试的支持工具。Mike发现商务Web软件中的漏洞。Mike还为SecurityFocus及DevX撰写Web服务器安全方面的技术专栏，他还作为合著者把自己的安全经验应用到HackingExposed：WebApplicationsandTheAnti-HackerToolkit一书中。在空余时间，Mike热衷于RPG游戏。Mike获得了Peen州立大学的电子工程学及法语学学士学位。MikeShema的联系方式是mike@webhackingexposed.com。

内容简介

《黑客札记》丛书之《Web安全手册》描述了威胁现今Web应用程序的黑客技术和漏洞，并且提供了各种防御方法。确定漏洞是否存在，然后进行攻击，并通过一系列确凿可信的反黑方法、最佳实践和代码级别的技术来克服程序弱点。本书中间部分的“参考中心”可用来查阅安全命令、输入验证检查表、替换编码表、在线资源，SQL注入提示和程序测试方法等等。 在数秒内从特设的32页“参考中心”找到关键信息 配置安全的Web服务器并编写安全的Web应用程序 学会并理解程序巡查和渗透方法 防止程序数据被非法访问 建立严格的政策、程序和服务 在Web服务器日志文件中追踪程序攻击的证据 封堵系统平台和Web应用程序的漏洞 掌握处理会话劫持、SQL注入等攻击的可用工具 减少ASP、PHP、JAVA和Perl编程中的程序缺陷 通过彻底的日志分析识别基于Web的攻击 作者简介：Mike Shema是Foundstone安全咨询公司的首席顾问和培训员。他是Hacking Exposed Web Applications和Anti-Hacker Tool Kit的其中一位作者，并且是《应急响应》（由清华大学出版社引进出版）的技术评论。他做过网络和Web应用程序的安全评估工作。 丛书编辑简介：Mike Horton是Foundstone公司的信息系统安全顾问，他有超过十年的企业、政府和计算机网络安全的综合经验。他是《黑客札记》丛书的策划人，是本套丛书中《网络安全手册》的主要作者，并且是Enigma Server（www.enigmasever.com）安全研究的开拓者。

图书目录

第一部分 黑客技术与防御

第1章 Web攻击和渗透方法论3

1.1 威胁和安全漏洞4

1.2 勾画平台轮廓5

1.3 勾画应用程序轮廓10

1.4 小结22

第2章 关键的黑客攻击与防御23

2.1 一般的输入验证25

2.1.1 常用途径26

2.1.2 源代码泄露28

2.2 字符编码29

2.2.1 URL编码（转义字符）29

2.2.2 Unicode30

2.3 其他的请求方法32

2.4 SQL注入33

2.4.1 Microsoft SQL Server40

2.4.2 Oracle43

2.4.3 MySQL45

2.4.4 PostgreSQL47

2.4.5 博采众家之长48

2.5 跨站脚本49

2.6 令牌分析512.6.1查找令牌51

2.6.2 编码与加密52

2.6.3 模式分析56

2.7 会话攻击57

2.8 基于XML的服务64

2.9 应用程序的基本防范66

2.10 输入验证66

2.11 小结73

第二部分 主机评估及安全性强化

第3章 平台评估方法77

3.1 漏洞扫描器78

3.1.1 Whisker及LibWhisker78

3.1.2 Nikto80

3.1.3 Nessus83

3.2 评估工具87

3.2.1 Achilles 88

3.2.2 WebProxy 2.189

3.2.3 Curl93

3.3 重播请求96

3.4 小结100

第4章 评估与加固核对表101

4.1 Web服务器概述102

4.2 Apache103

4.2.1 编译时选项104

4.2.2 配置文件：httpdconf109

4.3 IIS112

4.3.1 Adsutilvbs及Metabase113

4.3.2 账户114

4.3.3 文件安全性115

4.3.4 日志记录118

4.3.5 IIS锁定工具（iislockdexe）1194.4小结120

第三部分 专题

第5章 Web服务器安全与分析123

5.1 WEB服务器日志分析124

5.2 代理服务器131

5.3 负载均衡器133

5.4 攻击范围135

5.4.1 对文件系统进行的读取或写入访问135

5.4.2 执行任意命令135

5.5 小结141

第6章 安全编码143

6.1 安全程序设计144

6.2 和语言相关的问题148

6.2.1 Java148

6.2.2 ASP150

6.2.3 Perl151

6.2.4 PHP152

6.3 小结153

附录

附录A 7位ASCII引用157

附录B WebGoat165

B.1 安装WebGoat166

B.2 使用WebGoat167

参 考 中 心

应用程序评估方法核对表173

HTTP协议说明179

输入验证测试182

常见Web端口和应用程序185

命令技术一览187应用程序默认账户及配置文件191

Google关键词搜索192

IIS Metabase设置及建议193

在线参考198

有用工具199