当前位置: 首页 > 信息安全书籍 > 正文

安全书籍:代码审计-企业级Web代码安全架构

代码审计:企业级Web代码安全架构

《代码审计:企业级Web代码安全架构》由机械工业出版社出版。《代码审计:企业级Web代码安全架构》详细介绍代码审计的设计思路以及所需要的工具和方法,不仅用大量案例介绍了实用方法,而且剖析了各种代码安全问题的成因与预防策略。无论是对开发人员还是安全技术人员都有参考价值。
主要内容
·代码审计前的准备,包括代码审计前需要了解的PHP核心配置文件以及PHP环境搭建的方法。
·代码审计需要的工具,以及这些工具的详细使用方法。
·PHP代码审计中漏洞挖掘的思路与防范方法。
·常见漏洞的审计方法,涵盖SQL注入、XSS、CSRF、文件操作、代码/命令执行、变量覆盖、会话认证以及逻辑处理等等漏洞。
·二次漏洞的挖掘方法,以及代码审计过程中的一些常用技巧。
·介绍如何写出更安全的代码,包括参数的安全过滤、常用的加密算法、功能的安全设计、应用安全体系构建等。
作者简介
尹毅,网名Seay,阿里巴巴安全专家,Seay源代码审计系统作者,也是知名网络安全客的博主,至今个人博客访问量超百万。他15岁便开始接触网络安全,致力于Web安全研究,开发了大量的安全工具,乐于分享,在代码审计和渗透测试方面有丰富的经验。

电子书链接:https://pan.baidu.com/s/1R1D9EkdatVp5TspRRf-g2w 密码:ygx0

第一部分 代码审计前的准备

本书共3大部分,12个章节,第一部分主要讲代码审计环境的搭建及审计辅助及验证工具的使用。由浅入深,循序渐进。

第二部分 漏洞发现与防范

着重介绍PHP代码审计的中漏洞挖掘思路与防范方法。

第三部分 安全编程的规范

第三部分主要介绍的是PHP安全编程的规范,从攻击者的角度来告诉你应该怎么写出更安全的代码,这也是本书的核心价值,让代码没有漏洞。

目录

序言 
前言 
导读 
第一部分 代码审计前的准备 
第1章代码审计环境搭建2 
1.1 wamp/wnmp环境搭建2 
1.2 lamp/lnmp环境搭建4 
1.3 PHP核心配置详解6 
第2章审计辅助与漏洞验证工具14 
2.1 代码编辑器14 
2.1.1 Notepad++15 
2.1.2 UltraEdit15 
2.1.3 Zend Studio19 
2.2 代码审计工具21 
2.2.1 Seay源代码审计系统21 
2.2.2 Fortify SCA24 
2.2.3 RIPS25 
2.3 漏洞验证辅助27 
2.3.1 Burp Suite27 
2.3.2 浏览器扩展32 

2.3.3 编码转换及加解密工具36 
2.3.4 正则调试工具38 
2.3.5 SQL执行监控工具40 
第二部分 漏洞发现与防范 
第3章通用代码审计思路46 
3.1 敏感函数回溯参数过程46 
3.2 通读全文代码50 
3.3 根据功能点定向审计64 
第4章漏洞挖掘与防范(基础篇)68 
4.1 SQL注入漏洞68 
4.1.1 挖掘经验69 
4.1.2 漏洞防范74 
4.2 XSS漏洞77 
4.2.1 挖掘经验77 
4.2.2 漏洞防范82 
4.3 CSRF漏洞83 
4.3.1 挖掘经验83 
4.3.2 漏洞防范85 
第5章漏洞挖掘与防范(进阶篇)88 
5.1 文件操作漏洞88 
5.1.1 文件包含漏洞88 
5.1.2 文件读取(下载)漏洞93 
5.1.3 文件上传漏洞95 
5.1.4 文件删除漏洞99 
5.1.5 文件操作漏洞防范100 
5.2 代码执行漏洞102 
5.2.1 挖掘经验102 
5.2.2 漏洞防范108 
5.3 命令执行漏洞108 
5.3.1 挖掘经验109 
5.3.2 漏洞防范112 
第6章漏洞挖掘与防范(深入篇)114 
6.1 变量覆盖漏洞114 
6.1.1 挖掘经验115 
6.1.2 漏洞防范121 
6.2 逻辑处理漏洞122 
6.2.1 挖掘经验122 
6.2.2 漏洞防范130 
6.3 会话认证漏洞131 
6.3.1 挖掘经验131 
6.3.2 漏洞防范135 
第7章二次漏洞审计136 
7.1 什么是二次漏洞136 
7.2 二次漏洞审计技巧137 
7.3 dedecms二次注入漏洞分析137 
第8章代码审计小技巧142 
8.1 钻GPC等转义的空子142 
8.1.1 不受GPC保护的$_SERVER变量142 
8.1.2 编码转换问题143 
8.2 神奇的字符串146 
8.2.1 字符处理函数报错信息泄露146 
8.2.2 字符串截断148 
8.3 php: 输入输出流150 
8.4 PHP代码解析标签153 
8.5 fuzz漏洞发现154 
8.6 不严谨的正则表达式156 
8.7 十余种MySQL报错注入157 
8.8 Windows FindFirstFile利用161 
8.9 PHP可变变量162 
第三部分 PHP安全编程规范 
第9章参数的安全过滤166 
9.1 第三方过滤函数与类166 
9.1.1 discuz SQL安全过滤类分析167 
9.1.2 discuz xss标签过滤函数分析173 
9.2 内置过滤函数175 
第10章 使用安全的加密算法177 
10.1 对称加密177 
10.1.1 3DES加密178 
10.1.2 AES加密180 
10.2 非对称加密183 
10.3 单向加密185 
第11章 业务功能安全设计187 
11.1 验证码187 
11.1.1 验证码绕过187 
11.1.2 验证码资源滥用191 
11.2 用户登录192 
11.2.1 撞库漏洞192 
11.2.2 API登录193 
11.3 用户注册194 
11.4 密码找回195 
11.5 资料查看与修改197 
11.6 投票/积分/抽奖198 
11.7 充值支付200 
11.8 私信及反馈200 
11.9 远程地址访问202 
11.10 文件管理204 
11.11 数据库管理205 
11.12 命令/代码执行206 
11.13 文件/数据库备份207 
11.14 API208 
第12章应用安全体系建设211 
12.1 用户密码安全策略211 
12.2 前后台用户分表213 
12.3 后台地址隐藏215 
12.4 密码加密存储方式216 
12.5 登录限制218 
12.6 API站库分离218 
12.7 慎用第三方服务219 
12.8 严格的权限控制220 
12.9 敏感操作多因素验证221 
12.10 应用自身的安全中心223 
参考资源227 

本文固定链接: https://www.moondream.cn/?p=827 | 月梦工作室

该日志由 jacky 于2018年08月05日发表在 信息安全书籍 分类下, 你可以发表评论,并在保留原文地址及作者的情况下引用到你的网站或博客。
原创文章转载请注明: 安全书籍:代码审计-企业级Web代码安全架构 | 月梦工作室
关键字:

安全书籍:代码审计-企业级Web代码安全架构:等您坐沙发呢!

发表评论

快捷键:Ctrl+Enter