Web代码安全漏洞深度剖析 - Web开发 - Powered by Discuz!NT Archiver

TUhjnbcbe - 2022/5/2 16:28:00

在当今互联网高速发展的环境下，信息安全成了热门话题，覆盖个人信息安全、企业信息安全，乃至国家安全。攻击者常常把目标定位在寻找和获取系统源码上，传统IT开发人员从0到1建设系统时，少不了涉及常规化的开发与实施流程，但是在整体系统建设的信息安全方面，投入也许不是很大，直到问题被发现时才会“醒悟”。白盒测试比黑盒测试更能发现可利用高危漏洞。在发现业务系统有异常时，很多手段与方式都只能“临时解围”。要从根本上提升系统的安全性，一是要注重人为方面的安全，二是要注意系统本身的代码安全，从多个角度审视系统自身存在的问题往往是最有效的解决办法。这里介绍一本新书《Web代码安全漏洞深度剖析》。扫码选购↑这本书深入浅出，系统性地讲解了代码审计技术的方方面面，从常规的环境搭建到漏洞原理均有介绍，再结合实战案例对主流Web安全漏洞进行剖析，对安全技术爱好者、在校大学生、相关领域从业人员等群体来说，这本书是很好的分享，同时也是做白盒安全测试时不可多得的佳作。目录

本书赞誉

序言

前言

致谢

第一部分　准备工作

第1章　搭建代码审计环境2

1.1　基于Windows搭建phpStudy2

1.2　基于Linux搭建phpStudy4

1.3　在Linux下利用Docker搭建PHP环境6

1.4　phpStorm远程连接Docker容器14

1.5　小结20

第2章　辅助工具21

2.1　代码调试工具phpStorm+Xdebug21

2.2　火狐浏览器56.0的HackBar和FoxyProxy26

2.3　抓包工具BurpSuite34

2.4　小结47

第3章　了解目标48

3.1　代码审计的思路与流程48

3.2　漏洞分析前的准备工作52

3.3　php.ini配置53

3.4　小结55

第二部分　常规应用漏洞分析

第4章　SQL注入漏洞及防御58

4.1　SQL注入的原理及审计思路58

4.2　GET型SQL注入防御脚本绕过案例剖析60

4.3　Joomla注入案例分析67

4.4　SQL存储显现insert注入案例分析72

4.5　小结81

第5章　跨站脚本攻击及防御82

5.1　XSS简介82

5.2　反射型XSS三次URL编码案例分析88

5.3　存储型XSS案例分析95

5.4　DOM型XSS案例分析

5.5　小结

第6章　跨站请求伪造漏洞及防御

6.1　CSRF原理

6.2　GET型CSRF案例分析

6.3　POST型CSRF分析

6.4　小结

第7章　文件类型漏洞及防御

7.1　文件上传漏洞

7.2　文件上传漏洞案例剖析

7.3　文件下载漏洞

7.4　文件下载漏洞实际案例剖析

7.5　文件删除漏洞

7.6　文件删除漏洞实际案例剖析

7.7　文件包含漏洞

7.8　本地文件包含日志漏洞案例剖析

7.9　本地前台图片上传包含漏洞案例剖析

7.10　远程文件包含漏洞案例剖析

7.11　小结

第8章　代码执行漏洞与命令执行漏洞

8.1　代码执行漏洞的原理

8.2　代码执行案例剖析

8.3　反序列化代码执行案例剖析

8.4　命令执行漏洞

8.5　命令执行漏洞案例分析

8.6　小结

第9章　常规应用漏洞的其他类型

9.1　XXE漏洞

9.2　XXE漏洞案例剖析

9.3　URL跳转漏洞

9.4　URL跳转漏洞案例剖析

9.5　SSRF漏洞

9.6　SSRF漏洞案例剖析

9.7　PHP变量覆盖漏洞

9.8　变量覆盖漏洞案例剖析

9.9　小结

第三部分　业务安全漏洞分析

第10章　短信验证码漏洞及防御

10.1　短信验证码业务的安全问题及防御思路

10.2　短信验证码漏洞案例剖析

10.3　小结

第11章　会话验证漏洞及防御

11.1　会话验证的过程

11.2　Cookie认证会话漏洞案例剖析

11.3　Session身份认证漏洞案例剖析

11.4　小结

第12章　密码找回漏洞及防御

12.1　简介

12.2　密码找回漏洞案例剖析

12.3　小结

第13章　支付漏洞及防御

13.1　简介

13.2　支付漏洞案例剖析

13.3　小结

第14章　越权漏洞及防御

14.1　简介

14.2　平行越权案例剖析

14.3　垂直越权案例剖析

14.4　小结

扫码