本書是一本講解Web應用中最常見的安全風險以及解決方案的實用教材。它以當今公認的安全機構OWASP(Open Web Application Security Project)制定的OWASP Top 10為藍本，介紹了十項最嚴重的Web應用程序安全風險，并利用ESAPI(Enterprise Security API)提出了解決方案。本書共有五篇，第1篇通過幾個故事引領讀者進入安全的世界；第2篇是基礎知識篇，讀者可以了解基本的Web應用安全的技術和知識；第3篇介紹了常用的安全測試和掃描工具；第4篇介紹了各種威脅以及測試和解決方案；第5篇在前幾篇的基礎上，總結在設計和編碼過程中的安全原則。
本書各章以一個生動的小故事或者實例開頭，讓讀者快速了解其中的安全問題，然后分析其產生的原因和測試方法并提出有效的解決方案，列出處理相關問題的檢查列表，幫助讀者在以后的工作和學習中更好地理解和處理類似的問題。讀完本書之后，相信讀者可以將學過的內容應用到Web應用安全設計、開發、測試中，提高Web應用程序的安全，也可以很有信心地向客戶熟練地講解Web應用安全威脅和攻防，并在自己的事業發展中有更多的收獲。
本書適用于Web開發人員、設計人員、測試人員、架構師、項目經理、安全咨詢顧問等。本書也可以作為對Web應用安全有興趣的高校學生的教材，是一本實用的講解Web應用安全的教材和使用手冊。
如何你要了解應用安全，請看OWASP；
如果你要了解OWASP，請看OWASP Top 10；
如果你要了解OWASP Top 10，請看《Web應用安全威脅與防治——基于OWASP Top 10與ESAPI》。
它以淺顯的故事，詳實的理論，易懂的代碼，帶你去遨游應用安全的世界。
讀罷，讓我們忽然明白，搞應用安全，原來是可以這么簡單。
第1篇 引子
故事一：家有一IT，如有一寶
故事二：微博上的蠕蟲
故事三：明文密碼
故事四：IT青年VS禪師
第2篇 基礎篇
第1章 Web應用技術
1.1 HTTP簡介
1.2 HTTPS簡介
1.3 URI
1.3.1 URL
1.3.2 URI/URL/URN
1.3.3 URI比較
1.4 HTTP消息
1.4.1 HTTP方法
1.4.2 HTTP狀態碼
1.5 HTTP Cookie
1.5.1 HTTP Cookie的作用
1.5.2 HTTP Cookie的缺點
1.6 HTTP session
1.7 HTTP的安全
第2章 OWASP
2.1 OWASP簡介
2.2 OWASP風險評估方法
2.3 OWASP Top 10
2.4 ESAPI(Enterprise Security API)
第3篇 工具篇
第3章 Web服務器工具簡介
3.1 Apache
3.2 其他Web服務器
第4章 Web瀏覽器以及調試工具
4.1 瀏覽器簡介
4.1.1 基本功能
4.1.2 主流瀏覽器
4.1.3 瀏覽器內核
4.2 開發調試工具
第5章 滲透測試工具
5.1 Fiddler
5.1.1 工作原理
5.1.2 如何捕捉HTTPS會話
5.1.3 Fiddler功能介紹
5.1.4 Fiddler擴展功能
5.1.5 Fiddler第三方擴展功能
5.2 ZAP
5.2.1 斷點調試
5.2.2 編碼/解碼
5.2.3 主動掃描
5.2.4 Spider
5.2.5 暴力破解
5.2.6 端口掃描
5.2.7 Fuzzer
5.2.8 API
5.3 WebScrab
5.3.1 HTTP
5.3.2 Manual Request
5.3.3 Spider
5.3.4 Session ID分析
5.3.5 Bean Shell的支持
5.3.6 Web編碼和解碼
第6章 掃描工具簡介
6.1 萬能的掃描工具——WebInspect
6.1.1 引言
6.1.2 WebInspect特性
6.1.3 環境準備
6.1.4 HP WebInspect總覽
6.1.5 Web網站測試
6.1.6 企業測試
6.1.7 生成報告
6.2 開源掃描工具——w3af
6.2.1 w3af概述
6.2.2 w3af環境配置
6.2.3 w3af使用示例
6.3 被動掃描的利器——Ratproxy
6.3.1 Ratproxy概述
6.3.2 Ratproxy環境配置
6.3.3 Ratproxy運行
第7章 漏洞學習網站
7.1 WebGoat
7.2 DVWA
7.3 其他的漏洞學習網站
第4篇 攻防篇
第8章 代碼注入
8.1 注入的分類
8.1.1 OS命令注入
8.1.2 XPath注入
8.1.3 LDAP注入
8.1.4 SQL注入
8.1.5 JSON注入
8.1.6 URL參數注入
8.2 OWASP ESAPI與注入問題的預防
8.2.1 命令注入的ESAPI預防
8.2.2 XPath注入的ESAPI預防
8.2.3 LDAP注入的ESAPI預防
8.2.4 SQL注入的ESAPI預防
8.2.5 其他注入的ESAPI預防
8.3 注入預防檢查列表
8.4 小結
第9章 跨站腳本(XSS)
9.1 XSS簡介
9.2 XSS分類
9.2.1 反射式XSS
9.2.2 存儲式XSS
9.2.3 基于DOM的XSS
9.2.4 XSS另一種分類法
9.3 XSS危害
9.4 XSS檢測
9.4.1 手動檢測
9.4.2 半自動檢測
9.4.3 全自動檢測
9.5 XSS的預防
9.5.1 一刀切
9.5.2 在服務器端預防
9.5.3 在客戶端預防
9.5.4 富文本框的XSS預防措施
9.5.5 CSS
9.5.6 FreeMarker
9.5.7 OWASP ESAPI與XSS的預防
9.6 XSS檢查列表
9.7 小結
第10章 失效的身份認證和會話管理
10.1 身份認證和會話管理簡介
10.2 誰動了我的琴弦——會話劫持
10.3 請君入甕——會話固定
10.4 我很含蓄——非直接會話攻擊
10.5 如何測試
10.5.1 會話固定測試
10.5.2 用Web Scrab分析會話ID
10.6 如何預防會話攻擊
10.6.1 如何防治固定會話
10.6.2 保護你的會話令牌
10.7 身份驗證
10.7.1 雙因子認證流程圖
10.7.2 雙因子認證原理說明
10.7.3 隱藏在QR Code里的秘密
10.7.4 如何在服務器端實現雙因子認證
10.7.5 我沒有智能手機怎么辦
10.8 身份認證設計的基本準則
10.8.1 密碼長度和復雜性策略
10.8.2 實現一個安全的密碼恢復策略
10.8.3 重要的操作應通過HTTPS傳輸
10.8.4 認證錯誤信息以及賬戶鎖定
10.9 檢查列表
10.9.1 身份驗證和密碼管理檢查列表
10.9.2 會話管理檢查列表
10.10 小結
第11章 不安全的直接對象引用
11.1 坐一望二——直接對象引用
11.2 不安全直接對象引用的危害
11.3 其他可能的不安全直接對象引用
11.4 不安全直接對象引用的預防
11.5 如何使用OWASP ESAPI預防
11.6 直接對象引用檢查列表
11.7 小結
第12章 跨站請求偽造(CSRF)
12.1 CSRF簡介
12.2 誰動了我的奶酪
12.3 跨站請求偽造的攻擊原理
12.4 剝繭抽絲見真相
12.5 其他可能的攻擊場景
12.5.1 家用路由器被CSRF攻擊
12.5.2 別以為用POST你就躲過了CSRF
12.5.3 寫一個自己的CSRF Redirector
12.5.4 利用重定向欺騙老實人
12.6 跨站請求偽造的檢測
12.6.1 手工檢測
12.6.2 半自動CSRFTester
12.7 跨站請求偽造的預防
12.7.1 用戶需要知道的一些小技巧
12.7.2 增加一些確認操作
12.7.3 重新認證
12.7.4 加入驗證碼(CAPTCHA)
12.7.5 ESAPI解決CSRF
12.7.6 CSRFGuard
12.8 CSRF檢查列表
12.9 小結
第13章 安全配置錯誤
13.1 不能說的秘密——Google hacking
13.2 Tomcat那些事
13.3 安全配置錯誤的檢測與預防
13.3.1 系統配置
13.3.2 Web應用服務器的配置
13.3.3 數據庫
13.3.4 日志配置
13.3.5 協議
13.3.6 開發相關的安全配置
13.3.7 編譯器的安全配置
13.4 安全配置檢查列表
13.5 小結
第14章 不安全的加密存儲
14.1 關于加密
14.1.1 加密算法簡介
14.1.2 加密算法作用
14.1.3 加密分類
14.2 加密數據分類
14.3 加密數據保護
14.3.1 密碼的存儲與保護
14.3.2 重要信息的保護
14.3.3 密鑰的管理
14.3.4 數據的完整性
14.3.5 云系統存儲安全
14.3.6 數據保護的常犯錯誤
14.4 如何檢測加密存儲數據的安全性
14.4.1 審查加密內容
14.4.2 已知答案測試(Known Answer Test)
14.4.3 自發明加密算法的檢測
14.4.4 AES加密算法的測試
14.4.5 代碼審查
14.5 如何預防不安全的加密存儲的數據
14.6 OWASP ESAPI與加密存儲
14.6.1 OWASP ESAPI與隨機數
14.6.2 OWASP ESAPI 與FIPS 140-2
14.7 加密存儲檢查列表
14.8 小結
第15章 沒有限制的URL訪問
15.1 掩耳盜鈴——隱藏(Disable)頁面按鈕
15.2 權限認證模型
15.2.1 自主型訪問控制
15.2.2 強制型訪問控制
15.2.3 基于角色的訪問控制
15.3 繞過認證
15.3.1 網絡嗅探
15.3.2 默認或者可猜測用戶賬號
15.3.3 直接訪問內部URL
15.3.4 修改參數繞過認證
15.3.5 可預測的SessionID
15.3.6 注入問題
15.3.7 CSRF
15.3.8 繞過認證小結
15.4 繞過授權驗證
15.4.1 水平越權
15.4.2 垂直越權
15.5 文件上傳與下載
15.5.1 文件上傳
15.5.2 文件下載和路徑遍歷
15.6 靜態資源
15.7 后臺組件之間的認證
15.8 SSO
15.9 OWASP ESAPI與授權
15.9.1 AccessController的實現
15.9.2 一個AccessController的代碼示例
15.9.3 我們還需要做些什么
15.10 訪問控制檢查列表
15.11 小結
第16章 傳輸層保護不足
16.1 臥底的故事——對稱加密和非對稱加密
16.2 明文傳輸問題
16.3 有什么危害
16.3.1 會話劫持
16.3.2 中間人攻擊
16.4 預防措施
16.4.1 密鑰交換算法
16.4.2 對稱加密和非對稱加密結合
16.4.3 SSL/TLS
16.5 檢查列表
16.6 小結
第17章 未驗證的重定向和轉發
17.1 三角借貸的故事——轉發和重定向
17.1.1 URL轉發
17.1.2 URL重定向
17.1.3 轉發與重定向的區別
17.1.4 URL 重定向的實現方式
17.2 危害
17.3 如何檢測
17.4 如何預防
17.4.1 OWASP ESAPI與預防
17.5 重定向和轉發檢查列表
17.6 小結
第5篇 安全設計、編碼十大原則
第18章 安全設計十大原則
設計原則1——簡單易懂
設計原則2——最小特權
設計原則3——故障安全化
設計原則4——保護最薄弱環節
設計原則5——提供深度防御
設計原則6——分隔
設計原則7——總體調節
設計原則8——默認不信任
設計原則9——保護隱私
設計原則10——公開設計，不要假設隱藏秘密就是安全
第19章 安全編碼十大原則
編碼原則1——保持簡單
編碼原則2——驗證輸入
編碼原則3——注意編譯器告警
編碼原則4——框架和設計要符合安全策略
編碼原則5——默認拒絕
編碼原則6——堅持最小權限原則
編碼原則7——凈化發送到其他系統的數據
編碼原則8——深度預防
編碼原則9——使用有效的質量保障技術
編碼原則10——采用一個安全編碼規范
這是一本帶點酷酷的工程師范兒和人文氣質的"硬貨"。作為一名博學IT文藝老人，特別喜歡這種帶著思想氣息卻又有著豐富案例娓娓道來的實用信息安全書，過去卻往往只在國外作者中讀到。正如書中開頭的引子說的那樣："家有IT，如有一寶"。那么在Web安全日益火爆的今天，你會不會在讀完這本書后的未來也成為傳說中讓我們頂禮膜拜的大牛呢^-^
——IDF威懾防御實驗室益云(公益互聯網)社會創新中心聯合創始人萬濤@黑客老鷹
伴隨互聯網的高速發展，基于B/S架構的業務系統對安全要求越來越高，安全從業人員面臨空前的壓力。如何讓安全從業人員快速掌握Web應用安全？本書以詼諧、幽默的語言，精彩、豐富的實例，幫助安全從業人員從端到端理解Web應用安全。不失為近幾年Web應用安全書籍的上佳之作。
——OWASP中國區主席SecZone高級安全顧問 RIP
很樂意看到有人將自身的博學安全積累和OWASP的實踐出版成書，內容嚴謹細致卻不乏生動。這本信息安全領域的實用手冊將成為銀基安全致力于互聯網安全的參考指導書目之一，我們廣泛的電信、銀行、保險、證券和政府部門等客戶都會從中受益。
——上海銀基信息安全技術有限公司首席技術官胡紹勇(Kurau)
隨著安全訪問控制策略ACL的普及應用，互聯網企業目前面臨的安全風險面主要集中在Web服務層。其中Web應用系統在架構設計、開發編碼過程中是安全漏洞和風險引入的主要階段，而普遍地我們的架構、開發、測試崗位在安全技能與意識上恰恰是相對比較欠缺的。本書詳細介紹了Web安全基礎知識、測試平臺與方法，常見漏洞形式與原理，并結合OWASP實踐經驗給出預防建議、設計和編碼原則等。書中舉例生動形象，圖文代碼并茂，步驟歸納清晰。特別推薦給廣大Web開發、測試、安全崗位的朋友們。
—— 中國金山軟件集團信息安全負責人程沖
在網絡攻擊愈加復雜，手段日益翻新的今天，Web攻擊依然是大多數攻擊者的入侵手段。反思CSDN泄密及新浪微博蠕蟲事件，Web應用的安全突顯其重要性。OWASP作為全球經驗豐富的Web應用安全研究團隊，透過本書將Web應用安全的威脅、防御以及相關的工具進行了詳細的探討和研究。詳盡的操作步驟說明是本書的亮點之一，這些詳實且圖文并茂的內容為逐步深入學習Web應用安全提供了很好的幫助。我衷心希望這本書能夠成為信息安全專業的在校生以及應用安全相關從業人員的學習指導書。
-- 上海交通大學信息安全工程學院施勇(CISSP CISA)
很熱門的一套書，excel經典啊
物超所值 物超所值 物超所值
這個商品不錯~
這個商品不錯~
這個商品不錯~
這個商品不錯~
這個商品不錯~
這個商品不錯~
這個商品不錯~
非常好的一本書，值得學習
這個商品不錯~
這個商品不錯~
這個商品不錯~
還沒怎么看，不過印刷不錯，希望能有點收獲
這個商品不錯~
第二天就收到了，很快。書不錯，很喜歡。
這個商品不錯~
正版圖書很贊，都是過塑的，沒有壓皺的情況。
好書
好！
書還可以，包裝太簡單了，就塑料袋加一層塑料膜。郵政快遞給我時，發現書角都摔變形了，封面破了點，心里不爽！
一直對網絡安全很少關注，如果之前沒有關注過，這邊書還是值得去看看
這本書開篇很好，但很多都只是簡介，并不深入，要是有實例該多好，適合入門看看
前面100頁幾乎沒什么用，后面章節講的挺好
怎么說呢..安全類的書籍里面還算不錯，但是讀完了給人感覺是都接觸了點，再往深處什么也沒學到..
還是不錯的，很多干貨，主要偏向于java程序員。
把owasp排名靠前的web威脅都介紹的非常詳細
OWASP專注于網絡安全，OWASP Top中也列出了一些危害嚴重的漏洞攻擊技術排名，值得借鑒關注與閱讀。
