web應(yīng)用安全權(quán)威指南epub格式掃描版【免費(fèi)清晰版】

web應(yīng)用安全權(quán)威指南是一本對(duì)web安全講解的極為周全的一本書(shū)，或許它可能沒(méi)有國(guó)內(nèi)道哥和余弦那兩本書(shū)的深度，也沒(méi)講什么攻擊的奇淫技巧，但是絕對(duì)有那兩本書(shū)的廣度，在內(nèi)容上web應(yīng)用安全權(quán)威指南這本書(shū)更偏重防，當(dāng)做指南還是非常不錯(cuò)的，另外，該書(shū)對(duì)各種web應(yīng)用安全的防范策略介紹的非常全面，每個(gè)web開(kāi)發(fā)者都應(yīng)該讀讀這本書(shū)。本節(jié)內(nèi)容小編為大家整理帶來(lái)的是一份epub格式掃描版的web應(yīng)用安全權(quán)威指南電子書(shū)，該書(shū)內(nèi)容完整，字跡清晰，有需要的朋友點(diǎn)擊本文相應(yīng)的下載地址即可進(jìn)行下載查閱！

web應(yīng)用安全權(quán)威指南目錄

第1章 什么是 web應(yīng)用的安全隱患　　1

1-1 安全隱患即“能用于作惡的bug”　　2

1-2 為什么存在安全隱患會(huì)有問(wèn)題　　3

經(jīng)濟(jì)損失　　3

法律要求　　3

對(duì)用戶(hù)造成不可逆的傷害　　4

欺騙用戶(hù)　　4

被用于構(gòu)建僵尸網(wǎng)絡(luò)　　4

1-3 產(chǎn)生安全隱患的原因　　6

1-4 安全性 bug與安全性功能　　7

1-5 本書(shū)的結(jié)構(gòu)　　8

第2章 搭建試驗(yàn)環(huán)境 9

2-1試驗(yàn)環(huán)境概要　　10

2-2 安裝 vmware player　　11

什么是 vmware player　　11

下載 vmware player　　11

安裝 vmware player　　12

2-3 安裝虛擬機(jī)及運(yùn)行確認(rèn)　　14

虛擬機(jī)啟動(dòng)確認(rèn)　　14

虛擬機(jī)的使用方法　　15

編輯 hosts文件　　16

使用 ping確認(rèn)連接　　16

apache 與php的運(yùn)行確認(rèn)　　17

設(shè)置并確認(rèn)郵箱賬號(hào)　　17

2-4 安裝 fiddler　　18

什么是 fiddler　　18

安裝 fiddler　　18

fiddler 的運(yùn)行確認(rèn)及簡(jiǎn)單用法　　18

參考：虛擬機(jī)的數(shù)據(jù)一覽　　19

參考：如果無(wú)法連接試驗(yàn)環(huán)境的pop3服務(wù)器　　20

第3章 web 安全基礎(chǔ)：http、會(huì)話(huà)管理、同源策略　　21

3-1 http 與會(huì)話(huà)管理　　22

為什么要學(xué)習(xí) http　　22

最簡(jiǎn)單的 http　　22

使用 fiddler觀察http消息　　23

請(qǐng)求消息　　24

響應(yīng)消息　　24

狀態(tài)行　　25

響應(yīng)頭信息　　25

如果將 http比喻為對(duì)話(huà)　　25

輸入－確認(rèn)－注冊(cè)模式　　26

post 方法　　28

消息體　　28

百分號(hào)編碼　　29

referer　　29

get 和post的使用區(qū)別　　29

hidden 參數(shù)能夠被更改　　30

將 hidden參數(shù)的更改比作對(duì)話(huà)　　32

hidden 參數(shù)的優(yōu)點(diǎn)　　32

無(wú)狀態(tài)的 http認(rèn)證　　33

體驗(yàn) basic認(rèn)證　　33

專(zhuān)欄 　認(rèn)證與授權(quán)　　36

cookie 與會(huì)話(huà)管理　　36

使用 cookie的會(huì)話(huà)管理　　39

會(huì)話(huà)管理的擬人化解說(shuō)　　39

會(huì)話(huà) id泄漏的原因　　42

cookie 的屬性　　42

專(zhuān)欄 　cookie monster bug　　44

總結(jié)　　45

3-2 被動(dòng)攻擊與同源策略　　46

主動(dòng)攻擊與被動(dòng)攻擊　　46

主動(dòng)攻擊　　46

被動(dòng)攻擊　　46

惡意利用正規(guī)網(wǎng)站進(jìn)行的被動(dòng)攻擊　　47

跨站被動(dòng)攻擊　　48

瀏覽器如何防御被動(dòng)攻擊　　48

沙盒　　49

同源策略　　49

應(yīng)用程序安全隱患與被動(dòng)攻擊　　52

專(zhuān)欄 　第三方 javascript　　53

javascript 以外的跨域訪問(wèn)　　54

frame 元素與iframe元素　　54

專(zhuān)欄 　x-frame-options　　54

img 元素　　54

script 元素　　54

css　　55

form 元素的action屬性　　55

總結(jié)　　56

第4章 web應(yīng)用的各種安全隱患 57

4-1 web 應(yīng)用的功能與安全隱患的對(duì)應(yīng)關(guān)系　　58

安全隱患產(chǎn)生于何處　　58

注入型隱患　　59

總結(jié)　　60

4-2 輸入處理與安全性　　61

什么是 web應(yīng)用的輸入處理　　61

檢驗(yàn)字符編碼　　62

轉(zhuǎn)換字符編碼　　62

檢驗(yàn)并轉(zhuǎn)換字符編碼的實(shí)例　　62

專(zhuān)欄 　字符編碼的自動(dòng)轉(zhuǎn)換與安全性　　64

輸入校驗(yàn)　　64

輸入校驗(yàn)的目的　　64

輸入校驗(yàn)與安全性　　65

二進(jìn)制安全與空字節(jié)攻擊　　65

僅校驗(yàn)輸入值并不是安全性策略　　66

輸入校驗(yàn)的依據(jù)是應(yīng)用程序的規(guī)格　　67

哪些參數(shù)需要校驗(yàn)　　67

php 的正則表達(dá)式庫(kù)　　67

使用正則表達(dá)式檢驗(yàn)輸入值的實(shí)例（1） 1～5 個(gè)字符的字母數(shù)字　　68

使用正則表達(dá)式檢驗(yàn)輸入值的實(shí)例（2） 住址欄　　70

專(zhuān)欄 　請(qǐng)注意 mb_ereg中的\d與\w　　70

范例　　70

專(zhuān)欄 　輸入校驗(yàn)與框架　　71

總結(jié)　　72

參考：表示“非控制字符的字符”的正則表達(dá)式　　73

4-3 頁(yè)面顯示的相關(guān)問(wèn)題　　75

4.3.1 跨站腳本（基礎(chǔ)篇）　　75

概要　　75

攻擊手段與影響　　76

xss 竊取cookie值　　76

通過(guò) javascript攻擊　　79

篡改網(wǎng)頁(yè)　　80

反射型 xss與存儲(chǔ)型xss　　82

安全隱患的產(chǎn)生原因　　84

html 轉(zhuǎn)義的概要　　84

元素內(nèi)容的 xss　　85

沒(méi)有用引號(hào)括起來(lái)的屬性值的 xss　　85

用引號(hào)括起來(lái)的屬性值的 xss　　85

對(duì)策　　86

xss 對(duì)策的基礎(chǔ)　　86

指定響應(yīng)的字符編碼　　87

xss 的輔助性對(duì)策　　88

對(duì)策總結(jié)　　89

參考：使用perl的對(duì)策示例　　89

使用 perl進(jìn)行html轉(zhuǎn)義的方法　　89

指定響應(yīng)的字符編碼　　89

4.3.2 跨站腳本（進(jìn)階篇）　　90

href 屬性與src屬性的xss　　91

生成 url時(shí)的對(duì)策.　　92

校驗(yàn)鏈接網(wǎng)址　　92

javascript 的動(dòng)態(tài)生成　　92

事件綁定函數(shù)的 xss　　92

script 元素的xss　　94

javascript 字符串字面量動(dòng)態(tài)生成的對(duì)策　　95

dom based xss　　97

允許 html標(biāo)簽或css時(shí)的對(duì)策　　99

參考：perl中轉(zhuǎn)義unicode的函數(shù)　　99

4.3.3 錯(cuò)誤消息導(dǎo)致的信息泄漏　　100

總結(jié)　　100

繼續(xù)深入學(xué)習(xí)　　100

4-4 sql 調(diào)用相關(guān)的安全隱患　　101

4.4.1 sql 注入　　101

概要　　101

攻擊手段與影響　　102

示例腳本解說(shuō)　　102

錯(cuò)誤消息導(dǎo)致的信息泄漏　　103

union select 致使的信息泄漏　　104

使用 sql注入繞過(guò)認(rèn)證　　104

通過(guò) sql注入攻擊篡改數(shù)據(jù)　　106

其他攻擊　　107

專(zhuān)欄 　數(shù)據(jù)庫(kù)中表名與列名的調(diào)查方法　　108

安全隱患的產(chǎn)生原因　　109

字符串字面量的問(wèn)題　　109

針對(duì)數(shù)值的 sql注入攻擊　　110

對(duì)策　　110

使用占位符拼接 sql語(yǔ)句　　111

專(zhuān)欄 　采用 mdb2的原因　　111

為什么使用占位符會(huì)安全　　111

參考：like語(yǔ)句與通配符　　113

使用占位符的各種處理　　114

sql 注入的輔助性對(duì)策　　116

總結(jié)　　117

繼續(xù)深入學(xué)習(xí)　　117

參考：無(wú)法使用占位符時(shí)的對(duì)策　　117

參考：perl+mysql的安全連接方法　　118

參考：php+pdo+mysql的安全連接方法　　118

參考：java+mysql的安全連接方法　　118

4-5 關(guān)鍵處理中引入的安全隱患　　120

4.5.1 跨站請(qǐng)求偽造（csrf）　　120

概要　　120

攻擊手段與影響　　121

輸入－執(zhí)行”模式的 csrf攻擊　　121

csrf 攻擊與xss攻擊　　124

存在確認(rèn)頁(yè)面時(shí)的 csrf攻擊　　125

專(zhuān)欄 　針對(duì)內(nèi)部網(wǎng)絡(luò)的 csrf攻擊　　127

安全隱患的產(chǎn)生原因　　128

對(duì)策　　129

篩選出需要防范 csrf攻擊的頁(yè)面　　129

確認(rèn)是正規(guī)用戶(hù)自愿發(fā)送的請(qǐng)求　　130

專(zhuān)欄 　令牌與一次性令牌　　131

csrf 的輔助性對(duì)策　　133

對(duì)策總結(jié)　　133

4-6 不完善的會(huì)話(huà)管理　　134

4.6.1 會(huì)話(huà)劫持的原因及影響　　134

預(yù)測(cè)會(huì)話(huà) id　　134

竊取會(huì)話(huà) id　　134

挾持會(huì)話(huà) id　　135

會(huì)話(huà)劫持的方法總結(jié)　　135

會(huì)話(huà)劫持的影響　　135

4.6.2 會(huì)話(huà) id可預(yù)測(cè)　　136

概要　　136

攻擊手段與影響　　136

常見(jiàn)的會(huì)話(huà) id生成方法　　136

使用推測(cè)出的會(huì)話(huà) id嘗試偽裝　　137

偽裝造成的影響　　137

安全隱患的產(chǎn)生原因　　137

對(duì)策　　138

改善 php的會(huì)話(huà)id的隨機(jī)性的方法　　138

參考：自制會(huì)話(huà)管理機(jī)制產(chǎn)生的其他隱患　　139

4.6.3 會(huì)話(huà) id嵌入url　　139

概要　　139

攻擊手段與影響　　140

會(huì)話(huà) id嵌入url所需的條件　　140

范例腳本解說(shuō)　　141

通過(guò) referer泄漏會(huì)話(huà)id所需的條件　　142

攻擊流程　　142

事故性的會(huì)話(huà) id泄漏　　143

影響　　144

安全隱患的產(chǎn)生原因　　144

對(duì)策　　144

php　　144

java servlet（j2ee）　　145

asp.net　　145

4.6.4 固定會(huì)話(huà) id　　145

概要　　145

攻擊手段與影響　　146

示例腳本介紹　　146

會(huì)話(huà)固定攻擊解說(shuō)　　148

登錄前的會(huì)話(huà)固定攻擊　　148

會(huì)話(huà)采納　　151

僅在 cookie中保存會(huì)話(huà)id的網(wǎng)站固定會(huì)話(huà)id　　151

會(huì)話(huà)固定攻擊的影響　　151

安全隱患的產(chǎn)生原因　　152

對(duì)策　　152

無(wú)法更改會(huì)話(huà) id時(shí)采用令牌　　153

登錄前的會(huì)話(huà)固定攻擊的對(duì)策　　154

總結(jié)　　154

4-7 重定向相關(guān)的安全隱患　　155

4.7.1 自由重定向漏洞　　155

概要　　155

攻擊手段與影響　　156

安全隱患的產(chǎn)生原因　　159

允許自由重定向的情況　　159

對(duì)策　　160

固定重定向的目標(biāo) url　　160

使用編號(hào)指定重定向的目標(biāo) url　　160

校驗(yàn)重定向的目標(biāo)域名　　160

專(zhuān)欄 　警告頁(yè)面　　162

4.7.2 http 消息頭注入　　162

概要　　162

攻擊手段與影響　　163

重定向至外部域名　　165

專(zhuān)欄 　http 響應(yīng)截?cái)喙�擊　�?66

生成任意 cookie　　166

顯示偽造頁(yè)面　　168

安全隱患的產(chǎn)生原因　　170

專(zhuān)欄 　http 消息頭與換行　　171

對(duì)策　　171

對(duì)策 1：不將外界參數(shù)作為http響應(yīng)消息頭輸出　　171

對(duì)策 2：執(zhí)行以下兩項(xiàng)內(nèi)容　　171

專(zhuān)欄 　php 的header函數(shù)中進(jìn)行的換行符校驗(yàn)　　173

4.7.3 重定向相關(guān)的安全隱患總結(jié)　　173

4-8 cookie 輸出相關(guān)的安全隱患　　174

4.8.1 cookie 的用途不當(dāng)　　174

不該保存在 cookie中的數(shù)據(jù)　　174

參考：最好不要在cookie中保存數(shù)據(jù)的原因　　174

專(zhuān)欄 　padding oracle 攻擊與ms10-070　　176

4.8.2 cookie 的安全屬性設(shè)置不完善　　176

概要　　176

攻擊手段與影響　　177

關(guān)于抓包方法的注意點(diǎn)　　180

安全隱患的產(chǎn)生原因　　181

什么樣的應(yīng)用程序不能在 cookie中設(shè)置安全屬性　　181

對(duì)策　　181

給保存會(huì)話(huà) id的cookie設(shè)置安全屬性的方法　　182

使用令牌的對(duì)策　　182

使用令牌能確保安全性的原因　　184

除安全屬性外其他屬性值需要注意的地方　　184

domain 屬性　　184

path 屬性　　185

expires 屬性　　185

httponly 屬性　　185

總結(jié)　　185

4-9 發(fā)送郵件的問(wèn)題　　186

4.9.1 發(fā)送郵件的問(wèn)題概要　　186

郵件頭注入漏洞　　186

使用 hidden參數(shù)保存收件人信息　　186

參考：郵件服務(wù)器的開(kāi)放轉(zhuǎn)發(fā)　　187

4.9.2 郵件頭注入漏洞　　187

概要　　187

攻擊手段與影響　　188

攻擊方式 1：添加收件人　　190

攻擊方式 2：篡改正文　　191

通過(guò)郵件頭注入攻擊添加附件　　192

安全隱患的產(chǎn)生原因　　193

對(duì)策　　194

使用專(zhuān)門(mén)的程序庫(kù)來(lái)發(fā)送郵件　　194

不將外界傳入的參數(shù)包含在郵件頭中　　194

發(fā)送郵件時(shí)確保外界傳入的參數(shù)中不包含換行符　　195

郵件頭注入的輔助性對(duì)策　　195

總結(jié)　　196

繼續(xù)深入學(xué)習(xí)　　196

10-4 文件處理相關(guān)的問(wèn)題　　197

4.10.1 目錄遍歷漏洞　　197

概要　　197

攻擊手段與影響　　198

專(zhuān)欄 　從腳本源碼開(kāi)始的一連串的信息泄漏　　200

安全隱患的產(chǎn)生原因　　200

對(duì)策　　201

避免由外界指定文件名　　201

文件名中不允許包含目錄名　　201

專(zhuān)欄 　basename 函數(shù)與空字節(jié)　　202

限定文件名中僅包含字母和數(shù)字　　202

總結(jié)　　203

4.10.2 內(nèi)部文件被公開(kāi)　　203

概要　　203

攻擊手段與影響　　203

安全隱患的產(chǎn)生原因　　204

對(duì)策　　205

參考：apache中隱藏特定文件的方法　　205

11-4 調(diào)用 os命令引起的安全隱患　　206

4.11.1 os 命令注入　　206

概要　　206

攻擊手段與影響　　207

調(diào)用 sendmail命令發(fā)送郵件　　207

os 命令注入攻擊與影響　　209

安全隱患的產(chǎn)生原因　　210

在 shell中執(zhí)行多條命令　　210

使用了內(nèi)部調(diào)用 shell的函數(shù)　　211

安全隱患的產(chǎn)生原因總結(jié)　　212

對(duì)策　　212

在設(shè)計(jì)階段決定對(duì)策方針　　213

選擇不調(diào)用 os命令的實(shí)現(xiàn)方法　　213

避免使用內(nèi)部調(diào)用 shell的函數(shù)　　213

不將外界輸入的字符串傳遞給命令行參數(shù)　　 216

使用安全的函數(shù)對(duì)傳遞給 os命令的參數(shù)進(jìn)行轉(zhuǎn)義　　216

os 命令注入攻擊的輔助性對(duì)策　　217

參考：內(nèi)部調(diào)用shell的函數(shù)　　218

12-4 文件上傳相關(guān)的問(wèn)題　　219

4.12.1 文件上傳問(wèn)題的概要　　219

針對(duì)上傳功能的 dos攻擊　　219

專(zhuān)欄 　內(nèi)存使用量與 cpu使用時(shí)間等其他需要關(guān)注的資源　　220

使上傳的文件在服務(wù)器上作為腳本執(zhí)行　　220

誘使用戶(hù)下載惡意文件　　221

越權(quán)下載文件　　222

4.12.2 通過(guò)上傳文件使服務(wù)器執(zhí)行腳本　　 222

概要　　222

攻擊手段與影響　　223

示例腳本解說(shuō)　　223

專(zhuān)欄 　警惕文件名中的 xss　　224

php 腳本的上傳與執(zhí)行　　224

安全隱患的產(chǎn)生原因　　225

對(duì)策　　225

專(zhuān)欄 　校驗(yàn)擴(kuò)展名時(shí)的注意點(diǎn)　　228

4.12.3 文件下載引起的跨站腳本　　228

概要　　228

攻擊手段與影響　　229

圖像文件引起的 xss　　229

pdf 下載引起的xss　　231

安全隱患的產(chǎn)生原因　　234

內(nèi)容為圖像時(shí)　　234

內(nèi)容不為圖像時(shí)　　235

對(duì)策　　236

文件上傳時(shí)的對(duì)策　　236

專(zhuān)欄 　bmp 格式的注意點(diǎn)與ms07-057　　 238

文件下載時(shí)的對(duì)策　　238

其他對(duì)策　　239

專(zhuān)欄 　將圖像托管在其他域名　　240

參考：用戶(hù)pc中沒(méi)有安裝對(duì)應(yīng)的應(yīng)用程序時(shí)　　240

總結(jié)　　241

13-4 include 相關(guān)的問(wèn)題　　242

4.13.1 文件包含攻擊　　242

概要　　242

攻擊手段與影響　　243

文件包含引發(fā)的信息泄漏　　244

執(zhí)行腳本 1：遠(yuǎn)程文件包含攻擊（rfi）　　244

專(zhuān)欄 　rfi 攻擊的變種　　245

執(zhí)行腳本 2：惡意使用保存會(huì)話(huà)信息的文件　　246

安全隱患的產(chǎn)生原因　　248

對(duì)策　　248

總結(jié)　　248

14-4 eval 相關(guān)的問(wèn)題　　249

4.14.1 eval 注入　　249

概要　　249

攻擊手段與影響　　250

存在漏洞的應(yīng)用　　250

攻擊手段　　252

安全隱患的產(chǎn)生原因　　253

對(duì)策　　253

不使用 eval　　253

避免 eval的參數(shù)中包含外界傳入的參數(shù)　　254

限制外界傳入 eval的參數(shù)中只包含字母和數(shù)字　　254

參考：perl的eval代碼塊形式　　254

總結(jié)　　255

繼續(xù)深入學(xué)習(xí)　　255

15-4 共享資源相關(guān)的問(wèn)題　　256

4.15.1 競(jìng)態(tài)條件漏洞　　256

概要　　256

攻擊手段與影響　　257

安全隱患的產(chǎn)生原因　　258

對(duì)策　　259

避免使用共享資源　　259

使用互斥鎖　　259

總結(jié)　　260

參考：java servlet的其他注意點(diǎn)　　260

第5章 典型安全功能　　261

5-1 認(rèn)證　　262

5.1.1 登錄功能　　262

針對(duì)登錄功能的攻擊　　262

通過(guò) sql注入攻擊來(lái)跳過(guò)登錄功能　　262

通過(guò) sql注入攻擊獲取用戶(hù)密碼　　263

在登錄頁(yè)面進(jìn)行暴力破解　　263

通過(guò)社會(huì)化攻擊得到用戶(hù)密碼　　263

通過(guò)釣魚(yú)方法獲取密碼　　264

登錄功能被破解后的影響　　264

如何防止非法登錄　　264

確保系統(tǒng)中不存在 sql注入等安全性bug　　264

設(shè)置難以猜測(cè)的密碼　　265

密碼的字符種類(lèi)和長(zhǎng)度要求　　265

密碼的使用現(xiàn)狀　　266

應(yīng)用程序設(shè)計(jì)中關(guān)于密碼的需求　　266

嚴(yán)格的密碼檢查原則　　267

5.1.2 針對(duì)暴力破解攻擊的對(duì)策　　268

初步認(rèn)識(shí)賬號(hào)鎖定　　268

暴力破解攻擊的檢測(cè)和對(duì)策　　268

字典攻擊　　269

joe 賬號(hào)檢索　　269

逆向暴力破解　　269

針對(duì)變種暴力破解的對(duì)策　　269

5.1.3 密碼保存方法　　271

保護(hù)密碼的必要性　　271

利用加密方式進(jìn)行密碼保護(hù)及其注意事項(xiàng)　　271

專(zhuān)欄 　數(shù)據(jù)庫(kù)加密和密碼保護(hù)　　272

利用信息摘要來(lái)進(jìn)行密碼保護(hù)及其注意事項(xiàng)　　 272

什么是信息摘要　　272

專(zhuān)欄 　密碼學(xué)級(jí)別的散列函數(shù)需要滿(mǎn)足的要求　　273

利用信息摘要保護(hù)密碼　　273

威脅 1： 離線暴力破解　　274

威脅 2：彩虹破解（rainbow crack）　　275

威脅 3：在用戶(hù)數(shù)據(jù)庫(kù)里創(chuàng)建密碼字典　　276

如何防止散列值被破解　　277

對(duì)策 1： salt（加鹽）　　277

對(duì)策 2：stretching（延展計(jì)算）　　278

實(shí)現(xiàn)示例　　278

專(zhuān)欄 　密碼泄露途徑　　280

5.1.4 自動(dòng)登錄　　280

危險(xiǎn)的實(shí)現(xiàn)方式示例　　281

安全的自動(dòng)登錄實(shí)現(xiàn)方式　　281

延長(zhǎng)會(huì)話(huà)有效期　　282

使用令牌實(shí)現(xiàn)自動(dòng)登錄　　283

基于認(rèn)證票的自動(dòng)登錄方式　　286

三種方法的比較　　286

如何降低自動(dòng)登錄帶來(lái)的風(fēng)險(xiǎn)　　286

5.1.5 登錄表單　　286

專(zhuān)欄 　密碼確實(shí)需要掩碼顯示嗎　　287

5.1.6 如何顯示錯(cuò)誤消息　　288

5.1.7 退出登錄功能　　289

5.1.8 認(rèn)證功能總結(jié)　　290

參考：彩虹表原理　　290

5-2賬號(hào)管理　　293

5.2.1 用戶(hù)注冊(cè)　　293

郵箱地址確認(rèn)　　293

防止用戶(hù) id重復(fù)　　295

例子 1：id相同密碼不同可以注冊(cè)的網(wǎng)站　　295

例子 2：用戶(hù)id沒(méi)有添加唯一性約束的網(wǎng)站　　295

應(yīng)對(duì)自動(dòng)用戶(hù)注冊(cè)　　296

利用 captcha防止自動(dòng)注冊(cè)　　296

5.2.2 修改密碼　　297

確認(rèn)當(dāng)前密碼　　297

修改密碼后向用戶(hù)發(fā)送郵件通知　　298

密碼修改功能容易發(fā)生的漏洞　　298

5.2.3 修改郵箱地址　　298

修改郵箱地址功能要考慮的安全對(duì)策　　299

5.2.4 密碼找回　　299

面向管理員的密碼找回功能　　300

面向用戶(hù)的密碼找回功能　　300

對(duì)用戶(hù)進(jìn)行身份確認(rèn)　　301

如何發(fā)送密碼通知　　301

5.2.5 賬號(hào)凍結(jié)　　302

5.2.6 賬號(hào)刪除　　303

5.2.7 賬號(hào)管理總結(jié)　　303

5 3 授權(quán)　　304

5.3.1 什么是授權(quán)　　304

5.3.2 典型的授權(quán)漏洞　　304

更改資源 id后可以查看沒(méi)有權(quán)限查看的信息　　304

只控制菜單的顯示或不顯示　　305

使用 hidden參數(shù)或者cookie保存權(quán)限信息　　 306

授權(quán)漏洞總結(jié)　　307

專(zhuān)欄 　將私密信息嵌入 url進(jìn)行授權(quán)處理　　307

5.3.3 授權(quán)管理的需求設(shè)計(jì)　　307

專(zhuān)欄 　什么是角色　　308

5.3.4 如何正確實(shí)現(xiàn)授權(quán)管理　　308

5.3.5 總結(jié)　　309

5 4 日志輸出　　310

5.4.1 日志輸出的目的　　310

5.4.2 日志種類(lèi)　　310

錯(cuò)誤日志　　311

訪問(wèn)日志　　311

調(diào)試日志　　311

5.4.3 有關(guān)日志輸出的需求　　311

需要記錄到日志里的所有事件　　312

日志里應(yīng)包括的信息和格式　　312

日志文件保護(hù)　　312

日志文件保存位置　　313

日志文件保存期限　　313

服務(wù)器的時(shí)間調(diào)整　　313

5.4.4 實(shí)現(xiàn)日志輸出　　313

5.4.5 總結(jié)　　314

第6章 字符編碼和安全 315

6-1 字符編碼和安全概要　　316

6-2 字符集　　317

什么是字符集　　317

ascii 和iso-8859-1　　317

jis 規(guī)定的字符集　　318

微軟標(biāo)準(zhǔn)字符集　　318

unicode　　319

gb2312　　319

gbk　　319

gb18030　　320

不同字符相同編碼的問(wèn)題　　320

字符集的處理引起的漏洞　　320

6-3 字符編碼方式　　321

什么是編碼方式　　321

shift_jis　　321

euc-jp　　325

iso-2022-jp　　326

utf-16　　326

utf-8　　327

gb2312　　329

gbk　　330

gb18030　　331

6-4 由字符編碼引起的漏洞總結(jié)　　332

字符編碼方式中非法數(shù)據(jù)導(dǎo)致的漏洞　　332

對(duì)字符編碼方式處理存在紕漏導(dǎo)致的漏洞　　 332

在不同字符集間變換導(dǎo)致的漏洞　　332

6-5 如何正確處理字符編碼　　333

在應(yīng)用內(nèi)統(tǒng)一使用的字符集　　333

輸入非法數(shù)據(jù)時(shí)報(bào)錯(cuò)并終止處理　　335

處理數(shù)據(jù)時(shí)使用正確的編碼方式　　335

專(zhuān)欄 　調(diào)用 htmlspecialchars函數(shù)時(shí)必須指定字符編碼方式　　336

輸出時(shí)設(shè)置正確的字符編碼方式　　336

其他對(duì)策：盡量避免編碼自動(dòng)檢測(cè)　　337

6-6 總結(jié)　　338

如何提高 web網(wǎng)站的安全性 第7章　　339

7-1 針對(duì) web服務(wù)器的攻擊途徑和防范措施　　341

7.1.1 利用基礎(chǔ)軟件漏洞進(jìn)行攻擊　　341

7.1.2 非法登錄　　341

7.1.3 對(duì)策　　341

停止運(yùn)行不需要的軟件　　342

定期實(shí)施漏洞防范措施　　342

選定軟件時(shí)確認(rèn)軟件的升級(jí)狀況　　342

確定打補(bǔ)丁方式　　343

關(guān)注各種漏洞相關(guān)信息　　344

確認(rèn)漏洞后調(diào)查補(bǔ)丁狀況以及防范對(duì)策、并制定對(duì)應(yīng)計(jì)劃　　344

執(zhí)行漏洞對(duì)應(yīng)計(jì)劃　　345

對(duì)不需要對(duì)外公開(kāi)的端口或服務(wù)加以訪問(wèn)限制　　346

通過(guò)端口掃描確認(rèn)各端口服務(wù)狀態(tài)　　347

提高認(rèn)證強(qiáng)度　　348

7-2 防范偽裝攻擊的對(duì)策　　349

7.2.1 網(wǎng)絡(luò)偽裝的手段　　349

針對(duì) dns服務(wù)器的攻擊　　349

專(zhuān)欄 　visa 域名問(wèn)題　　350

arp 欺騙攻擊　　350

7.2.2 釣魚(yú)攻擊　　350

7.2.3 web 網(wǎng)站的偽裝攻擊對(duì)策　　351

網(wǎng)絡(luò)層的對(duì)策　　351

同一網(wǎng)段內(nèi)不放置可能存在漏洞的服務(wù)器　　 351

強(qiáng)化 dns運(yùn)維　　351

引入 ssl/tls　　352

專(zhuān)欄 　免費(fèi)的數(shù)字證書(shū)　　354

使用便于記憶的域名　　354

7-3 防范網(wǎng)絡(luò)監(jiān)聽(tīng)、篡改的對(duì)策　　355

7.3.1 網(wǎng)絡(luò)監(jiān)聽(tīng)、篡改的途徑　　355

通過(guò)無(wú)線網(wǎng)進(jìn)行監(jiān)聽(tīng)、篡改　　355

利用交換機(jī)端口鏡像　　355

利用代理服務(wù)器　　355

偽裝成 dhcp服務(wù)器　　355

使用 arp欺騙攻擊和dns緩存污染攻擊（dns cache poisoning）　　355

7.3.2 中間人攻擊　　356

使用 fiddler模擬中間人攻擊　　356

專(zhuān)欄 　請(qǐng)不要手動(dòng)安裝證書(shū)　　358

7.3.3 對(duì)策　　359

使用 ssl時(shí)的注意事項(xiàng)　　359

專(zhuān)欄 　ssl 認(rèn)證標(biāo)簽　　360

7-4 防范惡意軟件的對(duì)策　　361

7.4.1 什么是 web網(wǎng)站的惡意軟件對(duì)策　　361

7.4.2 惡意軟件的感染途徑　　361

7.4.3 web 網(wǎng)站惡意軟件防范對(duì)策概要　　362

7.4.4 如何確保服務(wù)器不被惡意軟件感染　　363

探討是否需要制定針對(duì)惡意軟件的防范措施　　 363

制定病毒防范政策并向用戶(hù)公開(kāi)　　363

使用防病毒軟件　　364

專(zhuān)欄 　web 網(wǎng)站的防病毒對(duì)策和gumblar的關(guān)系　　365

7-5 總結(jié)　　366

開(kāi)發(fā)安全的 web應(yīng)用所需要的管理 第8章　　367

8-1 開(kāi)發(fā)管理中的安全對(duì)策概要　　368

8-2 開(kāi)發(fā)體制　　369

開(kāi)發(fā)標(biāo)準(zhǔn)的制定　　369

教育培訓(xùn)　　369

8-3 開(kāi)發(fā)過(guò)程　　371

8.3.1 規(guī)劃階段的注意事項(xiàng)　　371

8.3.2 招標(biāo)時(shí)的注意事項(xiàng)　　371

專(zhuān)欄 　誰(shuí)應(yīng)該對(duì)安全漏洞負(fù)責(zé)　　372

8.3.3 需求分析時(shí)的注意事項(xiàng)　　372

8.3.4 概要設(shè)計(jì)的推進(jìn)方法　　373

8.3.5 詳細(xì)設(shè)計(jì)和編碼階段的注意事項(xiàng)　　 374

8.3.6 安全性測(cè)試的重要性及其方法　　374

8.3.7 web 健康診斷基準(zhǔn)　　374

8.3.8 承包方測(cè)試　　376

8.3.9 發(fā)包方測(cè)試（驗(yàn)收）　　376

8.3.10 運(yùn)維階段的注意事項(xiàng)　　377

8-4 總結(jié)　　378

web應(yīng)用安全權(quán)威指南內(nèi)容簡(jiǎn)介

《web應(yīng)用安全權(quán)威指南》適合web相關(guān)的開(kāi)發(fā)人員特別是安全及測(cè)試人員閱讀。

八大章節(jié)全面剖析，深入淺出地講解了sql注入、xss、csrf等web開(kāi)發(fā)人員必知的web安全知識(shí)。通過(guò)在vmware player虛擬機(jī)上對(duì)php樣本的攻擊，詳細(xì)介紹了安全隱患產(chǎn)生的原理及應(yīng)對(duì)方法，助你打造安全無(wú)虞的web應(yīng)用。

《web應(yīng)用安全權(quán)威指南》系日本web安全第一人德丸浩所創(chuàng)，是作者從業(yè)多年的經(jīng)驗(yàn)總結(jié)。作者首先簡(jiǎn)要介紹了web應(yīng)用的安全隱患以及產(chǎn)生原因，然后詳細(xì)介紹了web安全的基礎(chǔ)，如http、會(huì)話(huà)管理、同源策略等。此外還重點(diǎn)介紹了web應(yīng)用的各種安全隱患，對(duì)其產(chǎn)生原理及對(duì)策進(jìn)行了詳盡的講解。最后對(duì)如何提高web網(wǎng)站的安全性和開(kāi)發(fā)安全的web應(yīng)用所需要的管理進(jìn)行了深入的探討。本書(shū)可操作性強(qiáng)，讀者可以通過(guò)下載已搭建的虛擬機(jī)環(huán)境親自體驗(yàn)書(shū)中的各種安全隱患。

web應(yīng)用安全權(quán)威指南內(nèi)容截圖