Web入侵安全測(cè)試與對(duì)策

第1章  與眾不同的Web    1
1.1  本章內(nèi)容    1
1.2  簡(jiǎn)介    1
1.3  World Wide Web    2
1.4  Web世界的價(jià)值    4
1.5  Web和客戶機(jī)－服務(wù)器    5
1.6  Web應(yīng)用的一個(gè)粗略模型    7
1.6.1  Web服務(wù)器    7
1.6.2  Web客戶機(jī)    8
1.6.3  網(wǎng)絡(luò)    8
1.7  結(jié)論    9
第2章  獲取目標(biāo)的信息    11
2.1  本章內(nèi)容    11
2.2  簡(jiǎn)介    11
2.3  攻擊1：淘金    11
2.3.1  何時(shí)使用這種攻擊    12
2.3.2  如何實(shí)施這種攻擊    12
2.3.3  如何防范這種攻擊    18
2.4  攻擊2：猜測(cè)文件與目錄    18
2.4.1  何時(shí)使用這種攻擊    19
2.4.2  如何實(shí)施這種攻擊    19
2.4.3  如何防范這種攻擊    22
2.5  攻擊3：其他人留下的漏洞——樣例程序的缺陷    23
2.5.1  何時(shí)使用這種攻擊    23
2.5.2  如何實(shí)施這種攻擊    23
2.5.3  如何防范這種攻擊    24
第3章  攻擊客戶機(jī)    25
3.1  本章內(nèi)容    25
3.2  簡(jiǎn)介    25
3.3  攻擊4：繞過(guò)對(duì)輸入選項(xiàng)的限制    26
3.3.1  何時(shí)使用這種攻擊    27
3.3.2  如何實(shí)施這種攻擊    27
3.3.3  如何防范這種攻擊    30
3.4  攻擊5：繞過(guò)客戶機(jī)端的驗(yàn)證    31
3.4.1  何時(shí)使用這種攻擊    32
3.4.2  如何實(shí)施這種攻擊    32
3.4.3  如何防范這種攻擊    34
第4章  基于狀態(tài)的攻擊    37
4.1  本章內(nèi)容    37
4.2  簡(jiǎn)介    37
4.3  攻擊6：隱藏域    38
4.3.1  何時(shí)使用這種攻擊    38
4.3.2  如何實(shí)施這種攻擊    40
4.3.3  如何防范這種攻擊    41
4.4  攻擊7：CGI參數(shù)    41
4.4.1  何時(shí)使用這種攻擊    42
4.4.2  如何實(shí)施這種攻擊    42
4.4.3  如何防范這種攻擊    45
4.5  攻擊8：破壞cookie    45
4.5.1  何時(shí)使用這種攻擊    46
4.5.2  如何實(shí)施這種攻擊    46
4.5.3  如何防范這種攻擊    48
4.6  攻擊9：URL跳躍    48
4.6.1  何時(shí)使用這種攻擊    48
4.6.2  如何實(shí)施這種攻擊    49
4.6.3  如何防范這種攻擊    50
4.7  攻擊10：會(huì)話劫持    51
4.7.1  何時(shí)使用這種攻擊    52
4.7.2  如何實(shí)施這種攻擊    52
4.7.3  如何防范這種攻擊    54
4.8  參考文獻(xiàn)    55
第5章  攻擊用戶提交的輸入數(shù)據(jù)    57
5.1  本章內(nèi)容    57
5.2  簡(jiǎn)介    57
5.3  攻擊11：跨站點(diǎn)腳本    57
5.3.1  何時(shí)使用這種攻擊    59
5.3.2  如何實(shí)施這種攻擊    59
5.3.3  如何防范這種攻擊    63
5.4  攻擊12：SQL注入    64
5.4.1  何時(shí)使用這種攻擊    65
5.4.2  如何實(shí)施這種攻擊    65
5.4.3  如何防范這種攻擊    68
5.5  攻擊13：目錄遍歷    69
5.5.1  何時(shí)使用這種攻擊    69
5.5.2  如何實(shí)施這種攻擊    69
5.5.3  如何防范這種攻擊    71
第6章  基于語(yǔ)言的攻擊    73
6.1  本章內(nèi)容    73
6.2  簡(jiǎn)介    73
6.3  攻擊14：緩沖區(qū)溢出    73
6.3.1  何時(shí)使用這種攻擊    74
6.3.2  如何實(shí)施這種攻擊    75
6.3.3  如何防范這種攻擊    77
6.4  攻擊15：公理化    78
6.4.1  何時(shí)使用這種攻擊    79
6.4.2  如何實(shí)施這種攻擊    79
6.4.3  如何防范這種攻擊    81
6.5  攻擊16：NULL字符攻擊    81
6.5.1  何時(shí)使用這種攻擊    82
6.5.2  如何實(shí)施這種攻擊    83
6.5.3  如何防范這種攻擊    83
第7章  獲取目標(biāo)的信息    85
7.1  本章內(nèi)容    85
7.2  簡(jiǎn)介    85
7.3  攻擊17：SQL注入II——存儲(chǔ)過(guò)程    85
7.3.1  何時(shí)使用這種攻擊    86
7.3.2  如何實(shí)施這種攻擊    86
7.3.3  如何防范這種攻擊    87
7.4  攻擊18 ：命令注入    88
7.4.1  何時(shí)使用這種攻擊    89
7.4.2  如何實(shí)施這種攻擊    90
7.4.3  如何防范這種攻擊    90
7.5  攻擊19：探測(cè)服務(wù)器    90
7.5.1  何時(shí)使用這種攻擊    91
7.5.2  如何實(shí)施這種攻擊    92
7.5.3  如何防范這種攻擊    95
7.6  攻擊20：拒絕服務(wù)    96
7.6.1  何時(shí)使用這種攻擊    96
7.6.2  如何實(shí)施這種攻擊    97
7.6.3  如何防范這種攻擊    97
7.7  參考文獻(xiàn)    97
第8章  認(rèn)證    99
8.1  本章內(nèi)容    99
8.2  簡(jiǎn)介    99
8.3  攻擊21：偽裝型加密    99
8.3.1  何時(shí)使用這種攻擊    100
8.3.2  如何實(shí)施這種攻擊    101
8.3.3  如何防范這種攻擊    103
8.4  攻擊22：認(rèn)證破壞    103
8.4.1  何時(shí)使用這種攻擊    105
8.4.2  如何實(shí)施這種攻擊    105
8.4.3  如何防范這種攻擊    106
8.5  攻擊23：跨站點(diǎn)跟蹤    107
8.5.1  何時(shí)使用這種攻擊    109
8.5.2  如何實(shí)施這種攻擊    109
8.5.3  如何防范這種攻擊    110
8.6  攻擊24：暴力破解低強(qiáng)度密鑰    110
8.6.1  何時(shí)使用這種攻擊    112
8.6.2  如何實(shí)施這種攻擊    113
8.6.3  如何防范這種攻擊    113
8.7  參考文獻(xiàn)    115
第9章  隱私    117
9.1  本章內(nèi)容    117
9.2  簡(jiǎn)介    117
9.3  用戶代理    118
9.4  原文    120
9.5  cookie    121
9.6  Web Bugs    123
9.7  對(duì)剪切板的存取    124
9.8  頁(yè)面緩存    125
9.9  ActiveX控件    127
9.10  瀏覽器輔助對(duì)象    127
第10章  Web服務(wù)    129
10.1  本章內(nèi)容    129
10.2  簡(jiǎn)介    129
10.3  什么是Web服務(wù)    129
10.4  XML    130
10.5  SOAP    131
10.6  WSDL    132
10.7  UDDI    132
10.8  威脅    133
10.8.1  WSDL掃描攻擊    133
10.8.2  參數(shù)篡改    134
10.8.3  XPATH注入攻擊    134
10.8.4  遞歸負(fù)載攻擊    135
10.8.5  過(guò)載攻擊    136
10.8.6  外部實(shí)體攻擊    136
附錄A  軟件產(chǎn)業(yè)50年：質(zhì)量為先    139
A.1  1950—1959年：起源    139
A.2  1960—1969年：遠(yuǎn)行    140
A.3  1970—1979年：混亂    141
A.4  1980—1989年：重建    142
A.4.1  CASE工具    142
A.4.2  形式方法    143
A.5  1990—1999年：發(fā)展    144
A.6  2000—2009年：工程化？    145
附錄B  電子花店的bug    149
附錄C  工具    155
C.1  TextPad    155
C.2  Nikto    156
C.3  Wikto    159
C.4  Stunnel    164
C.5  BlackWidow    165
C.6  Wget    167
C.7  cURL    169
C.8  Paros    171
C.9  SPIKEProxy    173
C.10  SSLDigger    176
C.11  大腦    177