Защита веб -уязвимости веб -уязвимости на основе уязвимостей, связанных с OWASP Top 10 2017, чтобы всесторонне представить метод защиты веб -уязвимостей
Цена: 1 252руб. (¥59.25)
Артикул: 594133248967
Вес товара: ~0.7 кг. Указан усредненный вес, который может отличаться от фактического. Не включен в цену, оплачивается при получении.
Описание товараПродавец:人民邮电出版社官方旗舰店
Рейтинг:
Всего отзывов:0
Положительных:0
Добавить в корзину
Другие товары этого продавца
¥51.31 084руб.
¥48.861 033руб.
¥37.9801руб.
¥66.751 411руб.
 |
 |
 |
 |
 |
 |
Введение
Основываясь на уязвимости, связанных с Top 10 Top 10 2017, в этой книге систематически описывается метод защиты общих веб -уязвимостей.Книга сначала представляет демонстрационную платформу уязвимости и некоторые обычно используемые инструменты защиты безопасности, а затем объясняет методы защиты уязвимости и защитные инструменты, участвующие в OWASP Top 10 2017, а затем представляют, как улучшить сам веб -клиент через заголовок ответа HTTP в Сам веб -клиент. Способность защиты, наконец, обсудила, как выполнить внешнюю защиту WAF на внешнем уровне, когда исходный код приложения не может быть изменен.
Оглавление
Глава 1 Введение в инструменты использования ...
1.1 Webgoat ................................................................... 1
1.2 ESAPI ............................................................................... 5
1.3 Apache Shiro ............... 8
1.3.1 Особенности Apache Shiro ...
1.3.2 Основная концепция Apache Shiro ............. 9
1.3.3 Интегрирован с пружиной ...
1.4 Spring Security .................. 15
1.5 OWASP TOP 10 ................................................................... 17
Глава 2 SQL инъекции защищает ...
2.1 Инъекция SQL Введение ...
2.2 Классификация инъекций SQL .............................. 20
2.2.1 классифицируется по типу параметров ...
2.2.2 Классификация в соответствии с позицией впрыска .................... 20
2.2.3 Классификация в соответствии с результатами результатов ...
2.2.4 Другие типы ...
2.3 Пример объяснения ................................... ... двадцать один
2.3.1 Инъекция характера ...
2.3.2 Цифровая инъекция ...
2.3.3 Внедрение совместного запроса и впрыска запроса свай ........ 23
2.3.4 слепо входит ...
2.4 Проверка инъекции SQL ...
2.5 Защита ... ... 26
2.5.1 Пример уязвимости ...
2.5.2. Предварительное связывание и привязка параметров .................... 28
2.5.3 Проверка белого списка ...
2.5.4 Входное кодирование ...
2.5.5 Мибатис используйте его безопасно ...
2.6 Сводка .................................................... ........ ......... 33
Глава 3 Другая защита инъекций ...
3.1 Инъекция команды в инъекции защиты ...
3.2 XML Инъекция защиты ...
3.3 Инъекция защиты XPath ...
3.4 LDAP Инъекция защиты ...
3,5 JPA, инъекционная защита ...
3.6 Резюме .................................................... ................ ......... 43
Глава 4 Защита от сертификации ...
4.1 Дефекты сертификации ... ... 44
4.2 Защита от сертификации ............................... ... 44
4.2.1 Настройки имени пользователя и пароля ...
4.2.2 Забудьте пароль ...
4.2.3.
4.2.4 Кража пароля ...
4.2.5. Другая защита ...
4.3 Безопасное управление сеансами ...
4.3.1 Атрибуты идентификатора сеанса ...
4.3.2 Реализация управления сеансами ...
4.3.3 Cookies ...................................................53
4.3.4 Меры предосторожности для идентификатора сеанса ...
4.3.5 СЕБЕССИТЕЛЬНАЯ СЕБЕСКА ...
4.3.6 Управление сеансом и другая защита клиентов ......... 57
4.3.7 Тест на атаку сессии ...
4.3.8 Защита управления сеансами WAF ...
4.4 Защитные инструменты ............................... ... 59
4.4.1 Распределение паролей argon2 ............................ 59
4.4.2 Сертификация Apache Shiro ...
4.4.3 Управление сеансом Apache Shiro .............. 65
4.5 Сводка .................................................... ................ ......... 68
Глава 5 Защита от утечки данных ...
5.1 Защита от трансферного слоя ...
5.1.1.
5.1.2 Другие меры предосторожности ...
5.1.3 Инструмент обеспечения безопасности передачи слоя ...
5.2 Хранение шифрования данных ...
5.2.1 Краткая история кодового загрязнения ...
5.2.2 Режим шифрования и режим заполнения ...
5.2.3 Гибридная функция и защита целостности данных ......... 88
5.2.4 Код для использования дешифрования .............................. 90
5.3 Обмен данными безопасности ...
5.3.1 Строительство хранилища данных ...
5.3.2 Защита хранилища данных ...
5.3.3 Управление хранилищем данных ...
5.4 Резюме .................................................... .......... ....... 106
Глава 6 XXE защита ...
6.1 XML Введение ...
6.2 Метод атаки xxe и пример введения ...
6.2.1 Внутренний экземпляр XXE ...
6.2.2. Внешний экземпляр XXE ...
6.3 Тест XXE ...
6.4 XXE защита ...
6.4.1 DOM ............... 113
6.4.2 Sax ........................................................................... 116
6.4.3 Другое ...
6.5 Сводка .................................................... .......... ......... 117
Глава 7 Защита контроля доступа ...
7.1 Классификация контроля доступа ...
7.2 Общие вопросы ................................. 119
7.2.1 Прямая ссылка на небезопасную объект ...
7.2.2 Отсутствует функциональный контроль доступа ................. 120
7.2.3 Конфигурация ошибки обмена ресурсами Cross -Domain ......... 121
7.3 Защита инструментов ............................... 123
7.3.1 Apache Shiro Control ................ 123
7.3.2 Цитата рандомизированного объекта ESAPI ............. 126
7.3.3 Конфигурация CORS Spring Security ... 127
7.4 Резюме .................................................... ........ ......... 128
Глава 8 Конфигурация безопасности ...
Глава 9 Защита XSS ...
9.1 Классификация XSS ... 131
9.1.1 Reflex xss ...
9.1.2 dom xss ...
9.1.3 Хранение xss ...
9.1.4 Другие категории ...
9.2 Тест XSS ....................................... 138
9.3 метод защиты XSS ...
9.3.1 Отражающие XSS и резерв XSS
Защита ...
9.3.2 Dom Type XSS защита ...
9.4 Защитные инструменты ................................... 144
9.4.1 Owasp Java Encoder ............... 144
9.4.2 Owasp Java HTML Danitizer ... 149
9.4.3 Anjularjs SCE ................................................................. 158
9.4.4 ESAPI4JS ............... 160
9.4.5 jQuery Encoder ............................................. 164
9.5 Резюме .......................................................
Глава 10 Каталог защита уязвимости ...
10.1 Java Serialization и Back -последовательность ................. 168
10.1.1 Сериализация ...
10.1.2 оживление ...
10.1.3 Пользовательская сериализация и дезингация ..... 170
10.1.4 Задняя уязвимость Java ................ 171
10.1.5 Другое обратное -последовательные уязвимости .............. 175
10.2 обнаруживает деградированные лазейки ...
10.3 Защита лазейки в лазейках ...
10.4 Защитные инструменты ...
10.4.1 Пользовательские инструменты ...
10.4.2 Serialkiller ....................................................... 181
10.4.3 contra-ro0 ...................................................................................
10.5 Сводка .................................................... .................... ..... 185
Глава 11 Обнаружение дефицита компонентов ...
11.1 Потенциальные дефекты ...
11.2 Компонент дефекта обнаружения ...
11.2.1 letire.js ................................................................... 187
11.2.2 Проверка зависимости OWASP ..... 190
11.2.3 Sonatype AHC ............ 193
11.3 Сводка .................................................... ........ ..... 196
ГЛАВА 12 Крест -Сайт запрос на фальшивую защиту ...................... 197
12.1 Классификация CSRF ...
12.1.1 Получить CSRF ...............................
12.1.2 post csrf .........................
12.1.3 экземпляр CSRF ...
12.1.4 CSRF объединил XSS ...
12.2 Проверка CSRF ...
12.3 Защита CSRF ...
12.3.1 Методы защиты зажигания ............... 203
12.3.2 Правильный метод защиты ................. 204
12.4 Защитные инструменты ...
12.4.1 Инструменты на заказ ...
12.4.2 Spring Security Security CSRF .... 215
12.4.3 Отделение передней и задней части ...
12.5 Сводка .................................................... .............. ..... 217
Глава 13 Введите проверку ...
13.1 Введите метод проверки ...
13.2 Входная проверка ESAPI ...
Глава 14 http response Repant ...
14.1. Введение головы ответа на безопасность ...
14.1.1 HSTS ....................................................................... 222
14.1.2 HPKP ............... 223
14.1.3 x-frame-options ............ 223
14.1.4 X-XSS-защита ............... 224
14.1.5 x-контент-тип-опции ............ 224
14.1.6
14.1.7 Рефератор-политика ................................... 226
14.1.8 Ожидается, ................................................... 226
14.1.9 X-Permitted-Cross-Domain-
Политики ....................................................................... 226
14.1.10 Контроль кеша ............ 228
14.2 HTTP Обнаружение головки безопасности ...
14.2.1 Инструмент обнаружения командной строки ...
14.2.2 Инструменты обнаружения в Интернете ...
14.2.3 Инструмент для обнаружения плагина ...
14.3 Установка предложений для заголовка ответа на безопасность ...
14.3.1 Хорошо -известный экземпляр веб -сайта ...
14.3.2 Настройки предложения ...
14.4 Настройте заголовок ответа безопасности ...
14.4.1 Spring Security Unified Configuration ......... 233
14.4.2 HTTP_Hardening Configuration Безопасность
Ответ голова ...
14.4.3 Конфигурация конфигурации сервера Безопасность
Глава ответа ...
14.5 Резюме .................................................... .................... ..... 238
Глава 15 защита WAF ...
15.1 Modsecurity ............... 239
15.1.1 Компиляция и импорт ...
15.1.2 Настройте модбезопасность ...
15.1.3 Тест на модбезопасность .............................................. .................................................. .................................................. .................................................. .................................................. .................................................. .................................................. .................................................. .................................................. .................................................. .... иметь
15.2 Анализ правил ...
15.2.1 Инструкции ...
15.2.2 Фаза обработки ...
15.2.3 переменные ...
15.2.4 Функция преобразования ...
15.2.5 Поведение ...
15.2.6 Операции ...
15.3 OWASP Modsecurity CRS ............... 255
15.3.1 импорт CRS ...
15.3.2 Файл правил CRS ...
15.4 Тест на защиту ...
15.4.1 DVWA Construction ...
15.4.2 Тест на инъекцию SQL ...
15.4.3.
15.4.4 Тест XSS ...
15.4.5 Файл содержит тестирование ...
15.4.6 Тест загрузки файла ...
15.5 Резюме .................................................... ............ ..... 277
Рекомендации................................................ . .......... 278
об авторе
Ли Цзяньи, окончивший Пекинский университет постов и телекоммуникаций, является специалистом по безопасности и энтузиастам. Он работал в комментарии Meituan и участвовал в строительстве безопасности группы США с 0 до 1.
Рекомендуемая рекомендация
Основываясь на уязвимостях, связанных с OWASP Top 10 2017, метод защиты веб -уязвимостей полностью введен под разными углами