具体描述
在网络技术和电子商务飞速发展的今天，Web应用安全面临着前所未有的挑战。所有安全技术人员有必要掌握当今黑客们的武器和思维过程，保护Web应用免遭恶意攻击。本书由美国公认的安全专家和精神领袖打造，对上一版做了完全的更新，覆盖新的网络渗透方法和对策，介绍如何增强验证和授权、弥补Firefox和IE中的漏洞、加强对注入攻击的防御以及加固Web 2.0安全，还介绍了如何将安全技术整合在Web开发以及更广泛的企业信息系统中。
主要内容：
黑客足迹跟踪、扫描和剖析工具，包括SHODAN、Maltego和OWASP DirBuster
流行平台（如Sun Java System Web Server和Oracle WebLogic）上新的漏洞攻击
攻击者如何挫败常用的Web验证技术
实际的会话攻击泄漏敏感数据的方法，以及加固应用的途径
当今黑客使用的最具毁灭性的方法，包括SQL注入、XSS、XSRF、网络钓鱼和XML注入技术
寻找和修复ASP.NET、PHP和J2EE执行环境中的漏洞
安全部署XML、社交网络、云计算和Web2.0服务
防御RIA、Ajax、UGC和基于浏览器的客户端漏洞利用
实现可伸缩的威胁建模、代码评审、应用扫描、模糊测试和安全测试规程
作者简介
Joel Scambray，CISSP、战略安全咨询服务供应商Consciere的共同创始人和CEO。他曾经在Microsoft、Foundstone、Ernst & Young以及其他机构从事互联网安全评估和防御将近15年之久，是国际知名的演说家和多本安全书籍的作者。
Vincent Liu，CISSP、Stach & Liu的任事股东。他曾经领导Honeywell国际公司全球安全单位的攻击与渗透及逆向工程团队，曾经是Ernst & Young高级安全中心的顾问和美国国家安全局的分析师，曾经在Black Hat、ToorCon和 Microsoft BlueHat等业界会议上发表演说。
Caleb Sima，集成Web应用安全解决方案提供商Armorize Technologies的CEO。他创立了Web安全技术公司SPI Dynamic，也是Internet Security Systems/IBM精锐的X-Force团队的早期创新者，经常出席安全业界的重要会议，如RSA和Black Hat等。
目录信息
译者序
序言
前言
作者简介
致谢
第1章 Web应用入侵基础1
1.1 什么是Web应用入侵1
1.1.1 GUI Web入侵1
1.1.2 URI入侵2
1.1.3 方法、首部和主体3
1.1.4 资源4
1.1.5 验证、会话和授权5
1.1.6 Web客户端与HTML5
1.1.7 其他协议6
1.2 为什么攻击Web应用7
1.3 谁、何时、何处8
1.4 Web应用是如何遭到攻击的9
1.4.1 Web浏览器9
1.4.2 浏览器扩展10
1.4.3 HTTP代理14
1.4.4 命令行工具19
1.4.5 较老的工具20
1.5 小结20
1.6 参考与延伸阅读20
第2章 剖析23
2.1 基础架构剖析23
2.1.1 足迹法和扫描：定义范围23
2.1.2 基本的标志获取24
2.1.3 高级HTTP指纹识别25
2.1.4 基础架构中介28
2.2 应用剖析34
2.2.1 手工检查34
2.2.2 剖析所用的搜索工具50
2.2.3 自动化的Web爬行55
2.2.4 常见Web应用剖析60
2.3 一般对策63
2.3.1 警告63
2.3.2 保护目录63
2.3.3 保护包含文件64
2.3.4 其他技巧64
2.4 小结65
2.5 参考与延伸阅读65
第3章 Web平台入侵67
3.1 用Metasploit进行点击攻击68
3.2 手工攻击70
3.3 逃避检测80
3.4 Web平台安全最佳实践82
3.4.1 通用的最佳实践82
3.4.2 IIS加固84
3.4.3 Apache加固87
3.4.4 PHP最佳实践90
3.5 小结91
3.6 参考与延伸阅读92
第4章 攻击Web验证94
4.1 Web验证威胁94
4.1.1 用户名/密码威胁94
4.1.2 （更）强的Web验证108
4.1.3 Web验证服务111
4.2 绕过验证114
4.2.1 令牌重放114
4.2.2 跨站请求伪造116
4.2.3 身份管理118
4.2.4 客户端借道法121
4.3 最后一些想法：身份盗窃122
4.4 小结122
4.5 参考与延伸阅读123
第5章 攻击Web授权126
5.1 授权指纹识别127
5.1.1 ACL爬行127
5.1.2 识别访问令牌128
5.1.3 分析会话令牌129
5.1.4 差异分析131
5.1.5 角色矩阵132
5.2 攻击ACL132
5.3 攻击令牌134
5.3.1 人工预测134
5.3.2 自动预测140
5.3.3 捕捉/重放145
5.3.4 会话完成146
5.4 授权攻击案例研究147
5.4.1 水平权限提升147
5.4.2 垂直权限提升151
5.4.3 差异分析153
5.4.4 当加密失败时155
5.4.5 使用cURL映射权限155
5.5 授权最佳实践158
5.5.1 Web ACL最佳实践158
5.5.2 Web授权/访问令牌安全161
5.5.3 安全日志163
5.6 小结163
5.7 参考与延伸阅读164
第6章 输入注入攻击166
6.1 预料到意外情况167
6.2 何处寻找攻击目标167
6.3 绕过客户端校验例程168
6.4 常见输入注入攻击169
6.4.1 缓冲区溢出169
6.4.2 规范化攻击170
6.4.3 HTML注入174
6.4.4 边界检查177
6.4.5 操纵应用行为178
6.4.6 SQL注入179
6.4.7 XPATH注入189
6.4.8 LDAP注入191
6.4.9 自定义参数注入192
6.4.10 日志注入193
6.4.11 命令执行193
6.4.12 编码误用195
6.4.13 PHP全局变量195
6.4.14 常见的副作用196
6.5 常见对策196
6.6 小结197
6.7 参考与延伸阅读198
第7章 攻击XML Web服务200
7.1 Web服务是什么200
7.1.1 传输：SOAP over HTTP201
7.1.2 WSDL204
7.1.3 目录服务：UDDI和DISCO205
7.1.4 与Web应用安全的相似性209
7.2 攻击Web服务209
7.3 Web服务安全基础216
7.4 小结219
7.5 参考与延伸阅读219
第8章 攻击Web应用管理221
8.1 远程服务器管理221
8.1.1 Telnet221
8.1.2 SSH222
8.1.3 专用管理端口222
8.1.4 其他管理服务223
8.2 Web内容管理224
8.2.1 FTP224
8.2.2 SSH/scp224
8.2.3 FrontPage225
8.2.4 WebDAV226
8.3 错误的配置231
8.3.1 不必要的Web服务器扩展232
8.3.2 引起信息泄露的错误配置234
8.3.3 状态管理的错误配置245
8.4 小结249
8.5 参考与延伸阅读250
第9章 入侵Web客户端251
9.1 漏洞利用251
9.2 骗术264
9.3 一般的对策269
9.3.1 低权限浏览269
9.3.2 Firefox安全扩展271
9.3.3 ActiveX对策271
9.3.4 服务器端对策273
9.4 小结274
9.5 参考与延伸阅读274
第10章 企业Web应用安全计划277
10.1 威胁建模277
10.1.1 澄清安全目标278
10.1.2 识别资产279
10.1.3 架构概要279
10.1.4 分解应用280
10.1.5 识别和记录威胁280
10.1.6 威胁排名282
10.1.7 开发威胁缓解策略283
10.2 代码评审284
10.2.1 人工源代码评审284
10.2.2 自动化源代码评审288
10.2.3 二进制分析288
10.3 Web应用代码安全测试296
10.3.1 模糊测试296
10.3.2 测试工具、实用程序和框架298
10.3.3 渗透测试298
10.4 Web开发过程中的安全299
10.4.1 人员299
10.4.2 过程301
10.4.3 技术303
10.5 小结305
10.6 参考与延伸阅读305
附录A Web安全检查列表308
附录B Web黑客工具和技术快速参考312
· · · · · · (收起)
读后感
评分
评分
评分
评分
用户评价
要说《黑客大曝光》给我最深刻的感受，那大概是它带来的那种“原来如此”的恍然大悟。我以前对黑客的认知，可能很大程度上来源于电影和一些碎片化的新闻报道，总觉得他们是神秘莫测、神出鬼没的“网络幽灵”。但这本书，以一种非常扎实的叙事方式，一点点剥开了这层神秘的面纱。它没有回避那些技术细节，但又不像纯粹的技术书籍那样令人望而生畏。作者的写作功底很强，他能够将那些晦涩的技术概念，通过生动的案例和引人入胜的故事串联起来，让你在不知不觉中就理解了其中的逻辑。我尤其喜欢书中对不同类型“黑客”的分析，从那些出于好奇心和挑战精神的白帽黑客，到那些有明确目的甚至商业利益驱动的黑客，再到那些纯粹为了破坏而存在的黑客。这本书让我认识到，“黑客”这个词涵盖的范围非常广，他们的行为动机也千差万别。它不仅仅是一本关于技术的书，更是一本关于人性、关于欲望、关于信息时代社会结构的书。读完这本书，我感觉自己对网络世界以及其中的各种力量有了更清晰的认识。
评分《黑客大曝光》这本书，与其说是一本关于“黑客”的书，不如说是一本关于“信息”的书。它巧妙地将技术、人性、社会议题以及庞大的商业帝国交织在一起，构成了一幅错综复杂的图景。我最欣赏的一点是，作者并没有简单地将“黑客”定义为破坏者，而是深入探讨了他们在信息安全领域扮演的多重角色。书中详细阐述了许多技术背后的原理，但绝非枯燥的教科书式讲解。作者非常擅长将复杂的技术概念转化为生动的比喻和易于理解的叙述，比如在讲解某些加密算法时，会用非常形象的类比来帮助读者理解其核心思想。更重要的是，这本书并没有停留在技术层面，而是将技术置于更广阔的社会背景下进行审视。它探讨了隐私的界限、数据的重要性、以及权力如何在数字时代重新洗牌。阅读过程中，我多次停下来思考，我们在享受科技便利的同时，究竟牺牲了什么？这本书让我对“信息”这个词有了全新的认识，它不再仅仅是屏幕上流动的代码，而是蕴含着巨大的价值和潜在的危险。
评分《黑客大曝光》这本书，与其说是一次阅读，不如说是一次探险。作者带领我们进入了一个充满未知和挑战的数字世界。我一直对信息安全这个领域很感兴趣，但总感觉隔着一层纱，看不真切。这本书就像是一把钥匙，为我打开了那扇门。它没有直接给出“如何成为黑客”的教程，但通过对一系列真实事件的深入剖析，让你看到了黑客思维是如何运作的，他们是如何发现系统漏洞的，又是如何利用这些漏洞的。我尤其欣赏书中对那些“攻防战”的生动描绘，仿佛置身于一场没有硝烟的战争之中。作者的叙事非常流畅，能够将复杂的技术细节融入到引人入胜的故事线中，让你在阅读时既能满足好奇心，又能学到知识。这本书也引发了我对“界限”的思考，技术发展的界限在哪里？隐私的界限在哪里？以及，什么是真正的安全？它让我不再仅仅将黑客视为破坏者，而是开始思考他们行为背后的原因和影响。这本书让我对信息时代有了更深刻的理解，也让我对未来的发展充满了期待和审慎。
评分这本《黑客大曝光》的书，我断断续续看了快一个月了。当初被书名吸引，以为会是那种硬核的黑客技术手册，里面充斥着各种我看不懂的代码和复杂的网络攻防策略。但翻开第一页，我就发现自己想得太简单了。它更像是一部引人入胜的纪实小说，或者说是一部揭秘性质的报告文学。作者用了大量的篇幅去描绘那些隐藏在数字阴影中的人物，他们的动机、他们的成长经历、他们是如何一步步走向“黑客”这条路的。我尤其对书中对其中几位核心人物的心理刻画印象深刻，他们并非传统意义上脸谱化的反派，而是有着复杂的内心世界，有的是出于技术上的好奇和挑战，有的则是对现有体系的不满和反抗。书里并没有直接教你如何去黑入某个系统，而是通过讲述一个个真实或近乎真实的故事，让你去思考“黑客”这个群体存在的意义，以及他们在信息时代的特殊位置。有时候，我会一边看一边想象书中人物当时的场景，那种紧张刺激的感觉，即便隔着文字，也能体会到几分。它让我对“黑客”的理解不再局限于技术层面，而是上升到了社会、伦理甚至哲学的高度。虽然不是我最初期待的那种纯技术书，但这种出乎意料的阅读体验，反而让我觉得更有价值。
评分《黑客大曝光》这本书，真的让我大开眼界。之前总觉得黑客是遥不可及的存在，是电影里才会出现的桥段。然而，这本书却以一种非常接地气的方式，揭示了他们是如何在现实世界中行动的。我最惊讶的是，作者竟然能够获得如此多的内部信息和细节，感觉就像是直接潜入了那些黑客组织或者被攻击公司的内部一样。他不仅仅是描述了技术的攻防，更深入地挖掘了人物的动机和故事。有的人是为了证明自己的能力，有的人是为了金钱，有的人则是出于某种理念。书中很多案例都让我感到震惊，原来我们身边看似安全的信息，竟然存在如此多的漏洞和风险。它让我对网络安全有了更深刻的认识，也更加警惕了个人信息被泄露的可能。而且，书中对于技术的描述，虽然专业，但作者的讲解方式非常易懂，不会让你产生畏难情绪。我感觉这本书不仅仅是写给技术人员看的，即使是普通读者，也能从中获得很多启发。它让我看到了信息时代背后不为人知的一面。
评分还不错的，讲了不少用得到的技术
评分还不错的，讲了不少用得到的技术
评分还不错的，讲了不少用得到的技术
评分还不错的，讲了不少用得到的技术
评分还不错的，讲了不少用得到的技术
相关图书
本站所有内容均为互联网搜索引擎提供的公开搜索信息，本站不存储任何数据与内容，任何内容与数据均与本站无关，如有需要请联系相关搜索引擎包括但不限于百度，google,bing,sogou 等
© 2026 book.wenda123.org All Rights Reserved. 图书目录大全 版权所有