Web安全测试

出版者:清华大学出版社

作者:霍普(Paco Hope)

页数:281

译者:傅鑫

出版时间:2010-3

价格:39.00元

isbn号码:9787302219682

具体描述

《Web安全测试》内容简介：在你对Web应用所执行的测试中，安全测试可能是最重要的，但它却常常是最容易被忽略的。《Web安全测试》中的秘诀演示了开发和测试人员在进行单元测试、回归测试或探索性测试的同时，如何去检查最常见的Web安全问题。与即兴的安全评估不同的是，这些秘诀是可重复的、简洁的、系统的——可以完美地集成到你的常规测试套装中。

《Web安全测试》中的秘诀所覆盖的基础知识包括了从观察客户端和服务器之间的消息到使用脚本完成登录并执行Web应用功能的多阶段测试。在《Web安全测试》的最后，你将能够建立精确定位到Ajax函数的测试，以及适用于常见怀疑对象（跨站式脚本和注入攻击）的大型多级测试。

作者简介

Paco Hope，是Cigital公司的一名技术经理，《Mastering FreeBsD and 0penBsDsecurity》 （由O’Reilly出版）的合著者之一。他也发表过有关误用、滥用案例和PKI的文章。他曾被邀请到会议就软件安全需求、Web应用安全和嵌入式系统安全等话题发表演讲。在Cigital，他曾担任MasterCard Internationa！在安全策略方面的主题专家，而且曾协助一家世界500强的服务业公司编写软件安全策略。他也为软件开发和测试人员提供软件安全基础方面的培训。他还曾为博彩业和移动通信行业中的几家公司提出过软件安全方面的建议。Paco曾在威廉玛丽学院主修计算机科学和英语，并从弗吉尼亚大学获得计算机科学方面的理学硕士学位。

Ben Waltller，是Cigital公司的一名顾问，Edit C00kies工具的开发者之一。他同时参与标准质量保证和软件安全方面的工作。他日复一日地设计和执行测试一一因此他理解忙碌的QA领域对简单秘诀的需求。他也曾对开放式Web应用程序安全项目（0WAsP）的成员就w曲应用测试工具发表过演讲。

目录信息

序 1
前言 3
第1章 绪论 13
1.1 什么是安全测试 13
1.2 什么是Web应用 17
1.3 Web应用基础 21
1.4 Web应用安全测试 25
1.5 方法才是重点 26
第2章 安装免费工具 29
2.1 安装Firefox 29
2.2 安装Firefox扩展 30
2.3 安装Firebug 31
2.4 安装OWASP的WebScarab 32
2.5 在Windows上安装Perl及其软件包 33
2.6 在Linux, Unix或OS X上安装Perl和使用CPAN 34
2.7 安装CAL9000 35
2.8 安装ViewState Decoder 36
2.9 安装cURL 36
2.10 安装Pornzilla 37
2.11 安装Cygwin 38
2.12 安装Nikto 2 39
2.13 安装Burp Suite 40
2.14 安装Apache HTTP Server 41
第3章 基本观察 43
3.1 查看网页的HTML源代码 44
3.2 查看源代码，高级功能 45
3.3 使用Firebug观察实时的请求头 48
3.4 使用WebScarab观察实时的POST数据 52
3.5 查看隐藏表单域 55
3.6 使用TamperData观察实时的响应头 56
3.7 高亮显示JavaScript和注释 59
3.8 检测JavaScript事件 60
3.9 修改特定的元素属性 61
3.10 动态跟踪元素属性 63
3.11 结论 65
第4章 面向Web的数据编码 66
4.1 辨别二进制数据表示 67
4.2 使用Base-64 69
4.3 在网页中转换Base-36数字 71
4.4 在Perl中使用Base-36 71
4.5 使用以URL方式编码的数据 72
4.6 使用HTML实体数据 74
4.7 计算散列值 76
4.8 辨别时间格式 78
4.9 以编程方式对时间值进行编码 80
4.10 解码ASP.NET的视图状态 81
4.11 解码多重编码 83
第5章 篡改输入 85
5.1 截获和修改POST请求 86
5.2 绕过输入限制 89
5.3 篡改URL 90
5.4 自动篡改URL 93
5.5 测试对URL长度的处理 94
5.6 编辑Cookie 96
5.7 伪造浏览器头信息 99
5.8 上传带有恶意文件名的文件 101
5.9 上传大文件 104
5.10 上传恶意XML实体文件 105
5.11 上传恶意XML结构 107
5.12 上传恶意ZIP文件 109
5.13 上传样例病毒文件 110
5.14 绕过用户界面的限制 111
第6章 自动化批量扫描 114
6.1 使用WebScarab爬行网站 115
6.2 将爬行结果转换为清单 117
6.3 减少要测试的URL 120
6.4 使用电子表格程序来精简列表 120
6.5 使用LWP对网站做镜像 121
6.6 使用wget对网站做镜像 123
6.7 使用wget对特定的清单做镜像 124
6.8 使用Nikto扫描网站 125
6.9 理解Nikto的输出结果 127
6.10 使用Nikto扫描HTTPS站点 128
6.11 使用带身份验证的Nikto 129
6.12 在特定起始点启动Nikto 130
6.13 在Nikto中使用特定的会话Cookie 131
6.14 使用WSFuzzer测试Web服务 132
6.15 理解WSFuzzer的输出结果 134
第7章 使用cURL实现特定任务的自动化 137
7.1 使用cURL获取页面 138
7.2 获取URL的许多变体 139
7.3 自动跟踪重定向 140
7.4 使用cURL检查跨站式脚本 141
7.5 使用cURL检查目录遍历 144
7.6 冒充特定类型的网页浏览器或设备 147
7.7 以交互方式冒充另一种设备 149
7.8 使用cURL模仿搜索引擎 151
7.9 通过假造Referer头信息来伪造工作流程 152
7.10 仅获取HTTP头 153
7.11 使用cURL发送POST请求 154
7.12 保持会话状态 156
7.13 操纵Cookie 157
7.14 使用cURL上传文件 158
7.15 建立多级测试用例 159
7.16 结论 164
第8章 使用LibWWWPerl实现自动化 166
8.1 编写简单的Perl脚本来获取页面 167
8.2 以编程方式更改参数 169
8.3 使用POST模仿表单输入 170
8.4 捕获和保存Cookie 172
8.5 检查会话过期 173
8.6 测试会话固定 175
8.7 发送恶意Cookie值 177
8.8 上传恶意文件内容 179
8.9 上传带有恶意名称的文件 181
8.10 上传病毒到应用 182
8.11 使用Perl解析接收到的值 184
8.12 以编程方式来编辑页面 186
8.13 使用线程化提高性能 189
第9章 查找设计缺陷 191
9.1 绕过必需的导航 192
9.2 尝试特权操作 194
9.3 滥用密码恢复 195
9.4 滥用可预测的标识符 197
9.5 预测凭证 199
9.6 找出应用中的随机数 200
9.7 测试随机数 202
9.8 滥用可重复性 204
9.9 滥用高负载操作 206
9.10 滥用限制性的功能 208
9.11 滥用竞争条件 209
第10章 攻击AJAX 211
10.1 观察实时的AJAX请求 213
10.2 识别应用中的JavaScript 214
10.3 从AJAX活动回溯到源代码 215
10.4 截获和修改AJAX请求 216
10.5 截获和修改服务器响应 218
10.6 使用注入数据破坏AJAX 220
10.7 使用注入XML破坏AJAX 222
10.8 使用注入JSON破坏AJAX 223
10.9 破坏客户端状态 224
10.10 检查跨域访问 226
10.11 通过JSON劫持来读取私有数据 227
第11章 操纵会话 229
11.1 在Cookie中查找会话标识符 230
11.2 在请求中查找会话标识符 232
11.3 查找Authentication头 233
11.4 分析会话ID过期 235
11.5 使用Burp分析会话标识符 239
11.6 使用WebScarab分析会话随机性 240
11.7 更改会话以逃避限制 245
11.8 假扮其他用户 247
11.9 固定会话 248
11.10 测试跨站请求伪造 249
第12章 多层面的测试 251
12.1 使用XSS窃取Cookie 251
12.2 使用XSS创建覆盖 253
12.3 使用XSS产生HTTP请求 255
12.4 以交互方式尝试基于DOM的XSS 256
12.5 绕过字段长度限制（XSS） 258
12.6 以交互方式尝试跨站式跟踪 259
12.7 修改Host头 261
12.8 暴力猜测用户名和密码 263
12.9 以交互方式尝试PHP包含文件注入 265
12.10 制作解压缩炸弹 266
12.11 以交互方式尝试命令注入 268
12.12 系统地尝试命令注入 270
12.13 以交互方式尝试XPath注入 273
12.14 以交互方式尝试服务器端包含（SSI）注入 275
12.15 系统地尝试服务器端包含（SSI）注入 276
12.16 以交互方式尝试LDAP注入 278
12.17 以交互方式尝试日志注入 280
· · · · · · (收起)

读后感

这是我看的第一本系统讲解web安全的书籍。 作者是很有经验的业内人士。书中经常因为讲解某个安全测试方法而以自己的工作经历做例子。看过之后你会有对网站安全匪夷所思的感觉。 原来web程序有着那么多不安全的可能性。 本书讲解层次分明。可操作性强。语言简明。

这是我看的第一本系统讲解web安全的书籍。 作者是很有经验的业内人士。书中经常因为讲解某个安全测试方法而以自己的工作经历做例子。看过之后你会有对网站安全匪夷所思的感觉。 原来web程序有着那么多不安全的可能性。 本书讲解层次分明。可操作性强。语言简明。

这是我看的第一本系统讲解web安全的书籍。 作者是很有经验的业内人士。书中经常因为讲解某个安全测试方法而以自己的工作经历做例子。看过之后你会有对网站安全匪夷所思的感觉。 原来web程序有着那么多不安全的可能性。 本书讲解层次分明。可操作性强。语言简明。

这是我看的第一本系统讲解web安全的书籍。 作者是很有经验的业内人士。书中经常因为讲解某个安全测试方法而以自己的工作经历做例子。看过之后你会有对网站安全匪夷所思的感觉。 原来web程序有着那么多不安全的可能性。 本书讲解层次分明。可操作性强。语言简明。

这是我看的第一本系统讲解web安全的书籍。 作者是很有经验的业内人士。书中经常因为讲解某个安全测试方法而以自己的工作经历做例子。看过之后你会有对网站安全匪夷所思的感觉。 原来web程序有着那么多不安全的可能性。 本书讲解层次分明。可操作性强。语言简明。

用户评价

这本书给我最大的启发，在于它提供了一个系统性的视角来审视Web应用的安全性。我之前接触过的安全知识，往往是零散的，不成体系。而《Web安全测试》这本书，则像一本“武功秘籍”，将各种安全技术和策略编织成一套完整的体系。我非常喜欢书中关于“纵深防御”理念的阐述，它强调了在Web应用的各个层面都应建立起有效的安全防护，而不是寄希望于某一个单一的环节。书中对API安全、身份认证、会话管理等关键环节的安全加固，都进行了非常详细的指导。同时，作者并没有回避那些“灰色地带”的问题，例如，在介绍Web应用防火墙（WAF）的作用时，也指出了其局限性，并强调了其与其它安全措施的配合使用。这让我觉得，这本书的讲解是客观且务实的。它没有夸大任何一种技术的作用，而是力求为读者提供一个全面、平衡的安全解决方案。读完这本书，我感觉自己对Web安全的理解，从“知其然”上升到了“知其所以然”的境界，这对于我未来在该领域的深入研究，具有里程碑式的意义。

这本书的上市，无疑填补了我长久以来在前端安全知识领域的空白。作为一个长期专注于后端开发和数据安全的人，我一直觉得自己在面对日益复杂的Web应用时，对前端可能存在的安全隐患感到力不从心。这本书的出现，就像是为我点亮了一盏明灯。我尤其欣赏它深入浅出的讲解方式，即使是对于我这样并非专业安全出身的读者，也能迅速理解那些看似晦涩的技术概念。书中对各种常见的跨站脚本攻击（XSS）、跨站请求伪造（CSRF）以及SQL注入等攻击的原理剖析，都细致入微，并且给出了相应的防御策略。最让我惊喜的是，作者并没有止步于理论层面，而是提供了大量实操性的案例和代码示例，这对于我这样的动手派来说，简直是福音。通过这些案例，我不仅能直观地看到攻击是如何发生的，更能学习到如何通过代码层面的加固来防范。这本书的结构也非常清晰，从基础概念到进阶技巧，循序渐进，让我能够逐步建立起对Web前端安全的全面认知。在阅读过程中，我反复思考自己的项目，对比书中的讲解，也发现了许多之前从未意识到的潜在风险，这让我对未来的开发工作充满了信心。

我必须说，这本书的深入程度远远超出了我的预期。原本以为它会是市面上众多“入门级”安全书籍的翻版，没想到却给我带来了如此大的惊喜。作者在书中对Web安全漏洞的剖析，简直是“庖丁解牛”，精准且透彻。我尤其欣赏它在讲解复杂技术点时，所采用的类比和图示，这些都极大地降低了理解门槛，让一些抽象的概念变得生动形象。例如，书中对于“同源策略”的讲解，就通过一个生动的故事，让我瞬间明白了它的核心作用和潜在风险。而且，作者在介绍各种攻击技术时，总是会从攻击者的视角出发，去分析其思维模式和技术手段，这让我能够更全面地理解攻击的逻辑，从而更好地设计防御措施。这本书并不是简单地罗列漏洞，而是通过对漏洞成因的深入分析，帮助读者建立起一种“安全思维”，这才是它最宝贵的地方。阅读过程中，我常常会停下来，结合自己过往的项目经历，去反思那些可能被忽略的安全细节，这种“举一反三”的学习过程，让我受益匪浅。

这本书的出现，简直是我职业生涯中的一次“及时雨”。长期以来，我一直致力于构建更稳定、更可靠的系统，但总感觉在安全这一环上，总有一层看不见的壁垒。而《Web安全测试》这本书，恰恰打破了这层壁垒，让我得以窥探到Web安全测试的奥秘。我非常赞赏作者在书中对于安全测试的工具和方法论的详细介绍。从各种开源的扫描工具，到手动渗透测试的流程设计，再到报告的撰写，都进行了详尽的阐述。尤其是书中关于如何构建一个有效的安全测试环境的建议，对于我这样刚开始涉足安全领域的人来说，实在是太有价值了。它帮助我避免了许多不必要的弯路。书中的案例分析也非常到位，能够让我们看到，那些看似微不足道的漏洞，一旦被利用，可能会造成多么严重的后果。这让我深刻理解了“安全无小事”的道理。而且，这本书不仅仅局限于技术的层面，还融入了大量的法律法规和行业标准的内容，这对于确保测试工作的合规性，以及后续安全策略的制定，都提供了重要的参考。

读完这本书，我最大的感受就是，原来Web安全测试可以如此有趣且具有挑战性。它不是枯燥的理论堆砌，而是一场与黑客智慧的较量。书中对于各种攻击向量的分析，让我仿佛置身于一场攻防演练之中。作者用生动的语言，描绘了那些隐藏在代码深处的“后门”和“陷阱”，以及攻击者如何利用这些漏洞来实现其不可告人的目的。我特别喜欢其中关于“社会工程学”在Web安全测试中的应用部分，这部分内容拓展了我对安全的理解边界，让我意识到，再严谨的技术防护，也抵不过人性弱点的被利用。书中的很多测试方法，都非常接地气，并且充分考虑到了实际工作中的各种限制和情况。例如，在描述渗透测试的流程时，作者就非常细致地强调了“合法授权”的重要性，以及在进行测试时，如何最大程度地减少对目标系统的影响。这让我觉得，作者不仅仅是在传授技术，更是在传递一种负责任、有职业道德的安全理念。这本书的阅读体验非常棒，每一章都像是在解开一个谜团，让我迫不及待地想知道下一个挑战是什么。

: TP393.408/1286

有许多很有用的工具介绍

面广而浅，适合基础人士，测试代码全部是丑到爆的perl

There are two ways of constructing a software design: One way is to make it so simple that there are obviously no deficiencies, and the other way is to make it so complicated that there are no obvious deficiencies. The first method is far more difficult

讲的太浅了，适合做入门手册