新書推薦：
《
笼中王国 ： 18世纪法国的珍禽异兽与社会文化
》
售價：HK$
74.8
《
思考的框架3：风靡华尔街的思维训练法
》
售價：HK$
64.9
《
被记忆的西周史（中山大学中珠学术译丛）
》
售價：HK$
151.8
《
森林疗法：拥抱大自然、获得幸福的季节性方法
》
售價：HK$
74.8
《
希腊人（伊恩·莫里斯文明史系列）
》
售價：HK$
185.9
《
亚马逊六页纸 如何高效开会、写作、完成工作
》
售價：HK$
76.8
《
世界巨变：严复的角色（王中江著作系列）
》
售價：HK$
110.0
《
塔西佗（全二册）（二十世纪人文译丛）
》
售價：HK$
396.0
|
| 內容簡介： |
|
本书系统化介绍代码审计的步骤和业务漏洞分析，总结了作者在信息安全领域多年的实践经验，内容丰富，实践性强。本书分三大部分，共14章。“准备工作”部分介绍漏洞剖析环境搭建和辅助工具简单使用，为后续分析打下基础。“常规应用漏洞分析”部分介绍了几种漏洞的基本概念和实例解剖，如SQL注入、XSS跨站、CSRF/XSRF、文件类型、代码执行与命令执行等漏洞，并介绍了代码审计的思路和步骤。“业务安全漏洞分析”部分通过实例介绍了业务安全中的典型漏洞，如短信验证码、会话验证、密码找回、支付、越权等漏洞，并针对漏洞给出了防御措施。
|
| 目錄：
|
|
本书赞誉序言前言致谢部分 准备工作第1章 搭建代码审计环境21.1 基于Windows搭建phpStudy21.2 基于Linux搭建phpStudy41.3 在Linux下利用Docker搭建PHP环境61.4 phpStorm远程连接Docker容器141.5 小结20第2章 辅助工具212.1 代码调试工具phpStorm+Xdebug212.2 火狐浏览器56.0的HackBar和FoxyProxy 262.3 抓包工具Burp Suite342.4 小结47第3章 了解目标483.1 代码审计的思路与流程483.2 漏洞分析前的准备工作523.3 php.ini配置533.4 小结55第二部分 常规应用漏洞分析第4章 SQL注入漏洞及防御584.1 SQL注入的原理及审计思路584.2 GET型SQL注入防御脚本绕过案例剖析604.3 Joomla 注入案例分析674.4 SQL 存储显现insert注入案例分析724.5 小结81第5章 跨站脚本攻击及防御825.1 XSS简介825.2 反射型XSS三次URL编码案例分析885.3 存储型XSS案例分析955.4 DOM型 XSS案例分析1035.5 小结107第6章 跨站请求伪造漏洞及防御1096.1 CSRF原理1096.2 GET型CSRF案例分析1126.3 POST型CSRF分析1176.4 小结121第7章 文件类型漏洞及防御1227.1 文件上传漏洞1227.2 文件上传漏洞案例剖析1247.3 文件下载漏洞1347.4 文件下载漏洞实际案例剖析1347.5 文件删除漏洞1377.6 文件删除漏洞实际案例剖析1377.7 文件包含漏洞1407.8 本地文件包含日志漏洞案例剖析1457.9 本地前台图片上传包含漏洞案例剖析1537.10 远程文件包含漏洞案例剖析1567.11 小结159第8章 代码执行漏洞与命令执行漏洞1608.1 代码执行漏洞的原理1608.2 代码执行案例剖析1658.3 反序列化代码执行案例剖析1698.4 命令执行漏洞1788.5 命令执行漏洞案例分析1828.6 小结186第9章 常规应用漏洞的其他类型1879.1 XXE漏洞1879.2 XXE漏洞案例剖析1909.3 URL 跳转漏洞1939.4 URL跳转漏洞案例剖析1949.5 SSRF漏洞1989.6 SSRF漏洞案例剖析2019.7 PHP 变量覆盖漏洞2039.8 变量覆盖漏洞案例剖析2109.9 小结215第三部分 业务安全漏洞分析第10章 短信验证码漏洞及防御21810.1 短信验证码业务的安全问题及防御思路21810.2 短信验证码漏洞案例剖析22010.3 小结228第11章 会话验证漏洞及防御22911.1 会话验证的过程22911.2 Cookie 认证会话漏洞案例剖析23011.3 Session身份认证漏洞案例剖析23411.4 小结239第12章 密码找回漏洞及防御24012.1 简介24012.2 密码找回漏洞案例剖析24112.3 小结246第13章 支付漏洞及防御24713.1 简介24713.2 支付漏洞案例剖析24813.3 小结253第14章 越权漏洞及防御25414.1 简介25414.2 平行越权案例剖析25514.3 垂直越权案例剖析25914.4 小结263
|
| 內容試閱：
|
|
网络安全是国家战略安全的一部分，网络空间的博弈对抗，实质上是人与人之间的对抗。网络安全人才是实施国家战略安全的核心力量之一，培养网络安全从业者的实战对抗能力，是落实国家安全战略、确保各行各业网络信息系统安全的基础。《道德经》中提及“知其白，守其黑，为天下式”，对应到网络安全人才成长路线，就是要从了解攻击模式、掌握安全漏洞分析和利用方法开始，制定有效的安全策略，分析可能的安全漏洞，设计安全的程序。从互联网发展开始到如今，PHP编程语言及基于该语言实现的各类网络信息系统占据了Web应用的半壁江山。历史上，由于缺乏安全编码规范、PHP代码安全分析与审计的工具和方法普及不足等，一度出现了PHP漏洞盛行的不良局面。在此背景下，行业内出现了大量自发学习、研究、运用PHP漏洞分析与代码审计的爱好者，国内CTF类比赛也将这一方向作为重要的考察内容。但是由于缺少相关的系统性学习资料，网文、博客等也多以理论性介绍为主，很多初学者在学习、实践中无从下手。笔者有幸在该领域躬耕多年，积累了丰富的PHP代码漏洞分析、安全审计实战经验。合作作者李家辉、孔韬循是笔者多年的朋友，在这一领域也颇有建树。在他们的鼓励和帮助下，我们成立了编写组，针对当前PHP代码安全分析领域的特点和需求，结合编写组同人的经历和经验，制订了详细的编写计划，精心设计实验用例并逐一验证测试，进而形成本书的雏形。在写作过程中，我们发现从不同的思维角度能更清楚地描述网络安全技术。于是，我们邀请广州大学专职教师王乐老师加入编写组，将“实战化教学与思辨能力培养”的教学理念融入本书的设计和编写中，我们齐心合力，经过多轮的修改迭代，终成稿。本书可以作为PHP代码安全分析初学者的实验指导书，也可以作为Web安全研究者的参考手册。由于信息技术发展迅速，网络安全对抗与博弈技术瞬息万变，本书的各位作者虽然尽了全力，但难保完美无缺。如果读者发现关于本书的任何问题、不足或建议，请反馈给作者，以期改进！你可以通过QQ交流群（874215647）或者添加作者微信（曹玉杰（xiaoh-660）、李家辉（LJ_Seeu）、孔韬循（Pox-K0r4dji））与我们联系。曹玉杰2021年春
|
|
購物車/收銀台(0) | 在線留言板
| 付款方式
| 運費計算
| 聯絡我們
| 幫助中心 |
加入書簽
HOME
新書上架
