Web安全测试 (2008 年度畅销榜NO.11731 )

本书分为五个部分：第一部分提供了本书的概述并阐明了本书的主要框架。第二部分为“测试计划”，并涉及围绕着计划测试效果的一些相关事项。第三部分“测试设计”是本书的重点，大部分内容为详细列举的各种各样的可选测试，这一部分包括了第3、4、5、6、7、8章。第四部分是“测试实施”，讲述如何最好地执行这些测试，即由谁来实际做这些工作、需要使用什么工具以及以什么顺序执行测试（排列测试优先级），这部分包括第9章和第10章。在全书的最后，还附有丰富的附录，提供了大量的背景知识。 \r\n 本书使用了最新的材料，书中所列各种测试方法都有实际的步骤及具体的项目，因而操作性较强，是一本不可多得的好书。本书适合专业的网站安全评估人员阅读，对于各公司的CIO、系统管理员以及广大的网络技术研究者也很有参考价值。 计划安全测试的效果：策略、测试团队以及工具 如何定义项目的范围 测试网络安全和系统软件的配置 检查Web应用的安全性漏洞 评估一个组织如何有效防范那些使用社会工程、垃圾搜寻、内部同谋以及物理破坏方式的攻击 有关对那些用来混淆入侵者的设计进行测试的独特挑战 使用风险分析来关注对组织具有最大威胁的领域的测试效果。

第一部分 本书概述\r\n\r\n第1章 概述 \r\n\r\n1.1 本书的目的 \r\n1.2 本书的测试方法 \r\n1.3 本书的组织 \r\n1.4 本书所用的术语 \r\n1.4.1 黑客、破解者、脚本玩家及心怀不满的内部人员 \r\n1.4.2 测试词汇 \r\n1.5 本书的读者对象 \r\n1.6 小结 \r\n第二部分 计划测试效果\r\n\r\n第2章 测试计划 \r\n\r\n2.1 需求 \r\n2.1.1 澄清要求 \r\n2.1.2 安全策略 \r\n2.2 测试计划的结构 \r\n2.2.1 测试计划标识 \r\n2.2.2 介绍 \r\n2.2.3 项目范围 \r\n2.2.4 变动控制过程 \r\n2.2.5 待测的特性 \r\n2.2.6 不测的特性 \r\n2.2.7 方法 \r\n2.2.8 通过/未通过标准 \r\n2.2.9 暂停标准和重置要求 \r\n2.2.10 测试交付物 \r\n2.2.11 环境需要 \r\n2.2.12 配置管理 \r\n2.2.13 责任 \r\n2.2.14 提供人员和培训需要 \r\n2.2.15 进度 \r\n2.2.16 项目结束 \r\n2.2.17 预计风险和应急措施\r\n2.2.18 情况 \r\n2.2.19 假设 \r\n2.2.20 约束和依赖 \r\n2.2.21 简写和定义 \r\n2.2.22 引用 \r\n2.2.23 批准 \r\n2.3 主测试计划 \r\n2.4 小结 \r\n第三部分 测试设计\r\n\r\n第3章 网络安全 \r\n\r\n3.1 界定方法 \r\n3.2 界定样例 \r\n3.2.1 旅馆连锁店 \r\n3.2.2 家具制造厂 \r\n3.2.3 会计公司 \r\n3.2.4 搜索引擎 \r\n3.2.5 测试实验室 \r\n3.2.6 暂停标准 \r\n3.3 设备清单 \r\n3.4 网络拓扑 \r\n3.5 确认网络设计 \r\n3.5.1 网络设计修订 \r\n3.5.2 网络设计检验 \r\n3.6 核对设备清单 \r\n3.6.1 物理位置 \r\n3.6.2 未授权的设备 \r\n3.6.3 网络地址 \r\n3.7 核对网络拓扑\r\n3.7.1 网络连接 \r\n3.7.2 设备可访问性 \r\n3.8 补充的网络安全 \r\n3.8.1 网络地址破坏 \r\n3.8.2 安全的LAN通信 \r\n3.8.3 无线网段 \r\n3.8.4 DoS攻击 \r\n3.9 小结 \r\n\r\n第4章 系统软件安全 \r\n\r\n4.1 安全认证 \r\n4.2 补丁 \r\n4.3 强化 \r\n4.4 屏蔽 \r\n4.5 服务 \r\n4.6 目录和文件 \r\n4.7 用户ID与密码 \r\n4.7.1 手工猜测用户ID和密码 \r\n4.7.2 自动猜测用户ID和密码 \r\n4.7.3 经由社会工程获得信息 \r\n4.7.4 心怀不满的雇员策划违法行为 \r\n4.8 用户组 \r\n4.9 小结 \r\n\r\n第5章 客户端应用程序安全 \r\n\r\n5.1 应用程序攻击点 \r\n5.2 客户端识别和验证 \r\n5.2.1 基于用户知道的信息：knows-something方法 \r\n5.2.2 基于用户拥有的东西：has-something方法 \r\n5.2.3 基于用户是什么的特性：生物测定学方法 \r\n5.3 用户许可 \r\n5.3.1 功能限制 \r\n5.3.2 数据限制 \r\n5.3.3 功能和数据交叉限制 \r\n5.4 测试非法导航 \r\n5.4.1 HTTP报头分析 \r\n5.4.2 HTTP报头期满 \r\n5.4.3 客户端应用程序代码 \r\n5.4.4 Session ID \r\n5.4.5 导航工具 \r\n5.5 客户端数据 \r\n5.5.1 cookie \r\n5.5.2 hidden字段 \r\n5.5.3 URL \r\n5.5.4 本地数据文件 \r\n5.5.5 Windows注册表 \r\n5.6 安全的客户端传输 \r\n5.6.1 数字证书 \r\n5.6.2 加密强度 \r\n5.6.3 混合加密和未加密内容 \r\n5.6.4 避免加密瓶颈 \r\n5.7 移动式应用程序代码 \r\n5.7.1 ActiveX控件 \r\n5.7.2 Java applet \r\n5.7.3 客户端脚本 \r\n5.7.4 探测特洛伊木马移动式代码 \r\n5.8 客户端安全 \r\n5.8.1 防火墙 \r\n5.8.2 浏览器安全设置 \r\n5.8.3 客户端自适应代码 \r\n5.8.4 客户端嗅探 \r\n5.9 小结 \r\n\r\n第6章 服务器端应用程序安全\r\n\r\n6.1 CGI \r\n6.1.1 语言选择 \r\n6.1.2 CGI与输入数据 \r\n6.1.3 许可和目录 \r\n6.1.4 可扩充性 \r\n6.2 第三方CGI脚本\r\n6.3 服务器端包含\r\n6.4 动态代码 \r\n6.4.1 查看模板 \r\n6.4.2 单点失败 \r\n6.4.3 系统命令 \r\n6.4.4 示范脚本 \r\n6.4.5 有用的错误消息 \r\n6.5 应用程序代码 \r\n6.5.1 可编译源代码 \r\n6.5.2 不可编译的源代码 \r\n6.5.3 版权 \r\n6.5.4 有用的错误消息 \r\n6.5.5 旧版本 \r\n6.6 输入数据 \r\n6.6.1 无效数据类型 \r\n6.6.2 无效范围 \r\n6.6.3 缓冲区溢出 \r\n6.6.4 扩展符 \r\n6.7 服务器端数据 \r\n6.7.1 数据文件名 \r\n6.7.2 数据绊网 \r\n6.7.3 数据保险箱 \r\n6.7.4 WORM \r\n6.7.5 数据加密 \r\n6.7.6 数据伪装 \r\n6.7.7 数据安全岛 \r\n6.7.8 分布式的拷贝 \r\n6.7.9 碎片数据 \r\n6.7.10 由数据库管理系统加强的约束 \r\n6.7.11 过滤的索引 \r\n6.8 应用程序级入侵者侦查 \r\n6.9 小结 \r\n\r\n第7章 潜在的攻击：防范很少考虑的安全威胁\r\n\r\n7.1 打击社交工程 \r\n7.1.1 通过电话 \r\n7.1.2 通过电子邮件 \r\n7.1.3 通过额外的信件 \r\n7.1.4 欺骗个人 \r\n7.2 处理Dumpster Diver \r\n7.2.1 对纸张的合适处理 \r\n7.2.2 清理头脑风暴会议之后的遗留信息 \r\n7.2.3 正确处置电子硬件设备 \r\n7.3 提防内部同谋 \r\n7.3.1 预防措施和威慑手段 \r\n7.3.2 探测措施 \r\n7.3.3 补救和检举措施 \r\n7.4 防止物理攻击 \r\n7.4.1 设备的安全保护 \r\n7.4.2 硬件的安全保护 \r\n7.4.3 软件的安全保护 \r\n7.4.4 数据的安全保护 \r\n7.5 对自然灾难的预防 \r\n7.6 防止恶意破坏 \r\n7.7 小结 \r\n\r\n第8章 入侵者混淆、探测和响应 \r\n\r\n8.1 入侵者混淆 \r\n8.1.1 动态防护 \r\n8.1.2 欺骗性防护 \r\n8.1.3 honey pot \r\n8.1.4 侵入混淆的评价 \r\n8.2 侵入探测 \r\n8.2.1 侵入探测系统 \r\n8.2.2 审计跟踪 \r\n8.2.3 绊网与校验和 \r\n8.2.4 有害软件 \r\n8.2.5 监控 \r\n8.3 侵入响应 \r\n8.3.1 侵入确认 \r\n8.3.2 破坏遏制 \r\n8.3.3 破坏评估和法律调查 \r\n8.3.4 破坏控制和恢复 \r\n8.3.5 系统抢救和恢复 \r\n8.3.6 通知 \r\n8.3.7 起诉和反攻击 \r\n8.3.8 策略检查 \r\n8.4 小结 \r\n\r\n第四部分 测试实施\r\n\r\n第9章 评估和渗透选择 \r\n\r\n9.1 人员选择 \r\n9.1.1 自己做 \r\n9.1.2 请专业公司做 \r\n9.1.3 自己做和请专业公司做结合的测试方法 \r\n9.2 测试工具 \r\n9.2.1 人工方法 \r\n9.2.2 自动方法 \r\n9.2.3 工具评价 \r\n9.3 小结 \r\n\r\n第10章 风险分析\r\n\r\n10.1 重用\r\n10.1.1 资产审核 \r\n10.1.2 漏洞树和攻击树 \r\n10.1.3 差距分析 \r\n10.2 测试优先级 \r\n10.2.1 设备清单 \r\n10.2.2 威胁 \r\n10.2.3 业务影响 \r\n10.2.4 风险可能性 \r\n10.2.5 计算相对危险程度 \r\n10.2.6 标识和指定候选测试 \r\n10.2.7 优先级修改 \r\n10.2.8 测试时间表 \r\n10.2.9 FMECA \r\n10.3 小结 \r\n\r\n第五部分 附 录\r\n\r\n附录A 网络协议、地址和设备概述\r\n附录B SANS评出的前20种关键的Internet安全漏洞 \r\n附录C 可交付的测试模板 \r\n附录D 其他资源

    随着Internet的不断发展，越来越多的企业把他们充满宣传材料只起推广作用的站点逐步改造成了担负重要任务的网站。设计网站是为了获得新的利润和整合现有的系统。实现这些整体目标的人所面临的最严峻的挑战之一，就是确保这些新的店面免遭攻击和不当使用。
    不幸的是，现在需要测试安全漏洞的网站数目远远多于那些有足够经验完成这种测试的安全专家的人数。这意味着很多网站及其应用程序往往没有经过充分的测试，或者根本没有进行过测试。实际上，这些企业在玩“黑客轮盘赌”的游戏，仅仅希望自己走运罢了。
    没有足够的专家进行网站及其应用程序的安全测试，其中一个重要原因是缺少入门级的书。现在面市的图书不是面向高层的，就是面向底层的。前者偏重战略性，定位于高级管理人员和首席架构师，他们设计系统的高度实用性。而后者则极端技术化，定位于实现这些设计的有经验的开发人员和网络工程师。
    本书是一本简明易懂、易于按步操作的书，任何初涉安全测试领域的人都可以轻松读懂。我的第一本书《The Web Testing Handbook》（与Stefan Jaskiel合著，2001）的读者会发现我在本书中保留了第一本书的列表格式。因为我发现这种列表格式是如此地广受欢迎，所以希望保留这种列表格式会使安全测试人员更容易确保开发人员和网络工程师实现一个系统，而这个系统恰恰能够满足用户和设计者所构想的明确的或暗含的安全目标。
Steven Splaine