定 價(jià)：38 元
叢書(shū)名：高等學(xué)校網(wǎng)絡(luò)空間安全專(zhuān)業(yè)系列教材
- 作者：沈晉慧
- 出版時(shí)間：2023/11/1
- ISBN：9787560670621
- 出 版 社：西安電子科技大學(xué)出版社
- 中圖法分類(lèi)：TP393.08
- 頁(yè)碼：208
- 紙張：
- 版次：1
- 開(kāi)本：16開(kāi)
本書(shū)聚焦Web安全相關(guān)技術(shù)，按照客戶端、網(wǎng)絡(luò)協(xié)議、服務(wù)端和數(shù)據(jù)庫(kù)的邏輯線對(duì)安全問(wèn)題進(jìn)行了分類(lèi)和分析。本書(shū)從基本的漏洞入手，對(duì)XSS跨站腳本攻擊、文件上傳漏洞、文件包含漏洞、命令執(zhí)行漏洞和SQL注入漏洞等進(jìn)行了討論，詳細(xì)講解了它們的產(chǎn)生原理、利用方法及防御的演進(jìn)過(guò)程。同時(shí)，本書(shū)提供了配套的本地和云上實(shí)驗(yàn)靶場(chǎng)，可幫助讀者更好地理解漏洞原理和利用方法，提高學(xué)習(xí)效果。
本書(shū)既可作為高等學(xué)校信息安全、網(wǎng)絡(luò)空間安全、計(jì)算機(jī)科學(xué)與技術(shù)及相關(guān)專(zhuān)業(yè)本科生學(xué)習(xí)“Web安全技術(shù)”課程的教材，也可供從事Web安全相關(guān)工作的工程技術(shù)人員學(xué)習(xí)和參考。
隨著企業(yè)數(shù)字化轉(zhuǎn)型的加速，網(wǎng)絡(luò)安全問(wèn)題變得日益嚴(yán)峻。近十年來(lái)，針對(duì)我國(guó)網(wǎng)絡(luò)安全和信息化發(fā)展中遇到的新形勢(shì)、新挑戰(zhàn)和新問(wèn)題，國(guó)家以全球視野和發(fā)展的眼光，立足發(fā)展實(shí)際，對(duì)網(wǎng)絡(luò)安全領(lǐng)域的發(fā)展進(jìn)行了精心謀劃和科學(xué)布局，不僅建立完善了網(wǎng)絡(luò)安全的頂層設(shè)計(jì)和規(guī)劃，同時(shí)確立了網(wǎng)絡(luò)安全發(fā)展的戰(zhàn)略布局和方向指引，保障了新時(shí)代的國(guó)家現(xiàn)代化發(fā)展進(jìn)程。為了配合國(guó)家安全戰(zhàn)略，加快高校網(wǎng)絡(luò)空間安全高層次人才培養(yǎng)，2015年國(guó)務(wù)院學(xué)位委員會(huì)和教育部決定在“工學(xué)”門(mén)類(lèi)下增設(shè)“網(wǎng)絡(luò)空間安全”一級(jí)學(xué)科。2016年，中央網(wǎng)信辦、發(fā)改委、教育部等六部門(mén)聯(lián)合印發(fā)了《關(guān)于加強(qiáng)網(wǎng)絡(luò)安全學(xué)科建設(shè)和人才培養(yǎng)的意見(jiàn)》，網(wǎng)絡(luò)和信息安全類(lèi)的課程體系逐步成型，“Web安全技術(shù)”課程成為網(wǎng)絡(luò)和信息安全相關(guān)專(zhuān)業(yè)的核心專(zhuān)業(yè)課。
本書(shū)緊跟時(shí)代步伐，參照開(kāi)放性Web應(yīng)用程序安全項(xiàng)目(OWASP)的十大漏洞進(jìn)行分類(lèi)和分析，將全書(shū)分為五章。第1章簡(jiǎn)述了Web技術(shù)以及Web涉及的安全問(wèn)題。第2章講解了HTML + CSS + JavaScript的架構(gòu)，并從攻擊和防守兩個(gè)角度分析了XSS這個(gè)目前主流的前端漏洞。第3章重點(diǎn)介紹了HTTP缺陷以及攻擊者對(duì)HTTP的惡意利用所產(chǎn)生的中間人攻擊和重放攻擊等安全問(wèn)題。第4章先簡(jiǎn)述了動(dòng)態(tài)腳本開(kāi)發(fā)語(yǔ)言PHP的基礎(chǔ)語(yǔ)法和語(yǔ)法漏洞，然后在此基礎(chǔ)上介紹了后端漏洞—文件上傳漏洞、文件包含漏洞、序列化和反序列化漏洞、命令執(zhí)行漏洞的利用方法和防御方法。第5章主要介紹了數(shù)據(jù)庫(kù)的SQL注入漏洞(包括最簡(jiǎn)單的顯錯(cuò)注入、相對(duì)復(fù)雜的時(shí)間布爾盲注，以及更深入的二次注入、寬字節(jié)等變形注入)、繞過(guò)WAF的SQL注入和SQL注入漏洞的防御等內(nèi)容。本書(shū)在介紹各個(gè)漏洞利用時(shí)都提供了與之配套的本地和云上實(shí)驗(yàn)靶場(chǎng)，通過(guò)實(shí)際動(dòng)手實(shí)踐，讀者可以加深對(duì)漏洞原理的理解，提高學(xué)習(xí)效果。
本書(shū)第1章由李曉峰編寫(xiě)，第2章至第5章由沈晉慧編寫(xiě)，附錄部分由李月琴整理。本書(shū)的出版得到了北京聯(lián)合大學(xué)相關(guān)部門(mén)和老師們的大力支持，在此對(duì)所有為本書(shū)出版提供幫助和支持的同仁和朋友表示衷心的感謝！
由于編者水平有限，書(shū)中難免存在不妥或疏漏之處，敬請(qǐng)讀者批評(píng)指正。
編 者
2023年3月
第1章 Web技術(shù)和安全問(wèn)題 1
1.1 Web技術(shù)概述 1
1.1.1 Web技術(shù)的發(fā)展 1
1.1.2 Web全棧技術(shù) 3
1.1.3 Web應(yīng)用體系框架 3
1.1.4 本書(shū)使用的Web集成環(huán)境 5
1.2 Web涉及的安全問(wèn)題 6
1.2.1 Web安全問(wèn)題的產(chǎn)生原因和相關(guān)案例 6
1.2.2 開(kāi)放性Web應(yīng)用程序安全項(xiàng)目(OWASP) 8
1.3 Web安全技術(shù)的學(xué)習(xí)方法 10
練習(xí)題 13
第2章 客戶端安全 14
2.1 客戶端開(kāi)發(fā) 14
2.1.1 客戶端開(kāi)發(fā)基礎(chǔ) 14
2.1.2 HTML 15
2.1.3 CSS 20
2.1.4 JavaScript 24
2.2 XSS跨站腳本攻擊 28
2.2.1 XSS基礎(chǔ) 28
2.2.2 反射型XSS 29
2.2.3 存儲(chǔ)型XSS 35
2.2.4 XSS攻擊平臺(tái) 37
練習(xí)題 39
第3章 網(wǎng)絡(luò)協(xié)議安全 40
3.1 HTTP簡(jiǎn)介 40
3.1.1 HTTP的工作流程 40
3.1.2 HTTP請(qǐng)求 42
3.1.3 瀏覽器中的HTTP數(shù)據(jù)包 45
3.2 HTTP安全 47
3.2.1 HTTP的缺陷 47
3.2.2 劫持工具 49
3.2.3 HTTP的惡意利用 51
練習(xí)題 61
第4章 服務(wù)端安全 62
4.1 PHP基礎(chǔ) 62
4.1.1 基礎(chǔ)語(yǔ)法 62
4.1.2 表單驗(yàn)證 65
4.2 PHP語(yǔ)法漏洞 70
4.2.1 變量的弱類(lèi)型漏洞 70
4.2.2 PHP函數(shù)類(lèi)漏洞 74
4.3 文件上傳漏洞 80
4.3.1 特洛伊木馬和菜刀類(lèi)工具 80
4.3.2 漏洞原理 85
4.3.3 客戶端驗(yàn)證和文件類(lèi)型繞過(guò) 86
4.3.4 服務(wù)器操作系統(tǒng)關(guān)聯(lián)型漏洞 92
4.3.5 編碼格式漏洞 95
4.3.6 Web服務(wù)器配置型漏洞 99
4.3.7 條件競(jìng)爭(zhēng) 103
4.3.8 文件上傳漏洞的防御 107
4.4 文件包含漏洞 108
4.4.1 漏洞原理 108
4.4.2 漏洞利用 110
4.4.3 偽協(xié)議包含 114
4.4.4 文件包含漏洞的防御 123
4.5 序列化和反序列化漏洞 123
4.5.1 序列化基礎(chǔ) 123
4.5.2 魔術(shù)方法 129
4.5.3 漏洞原理 130
4.5.4 漏洞利用 133
4.5.5 序列化和反序列化漏洞的防御 136
4.6 命令執(zhí)行漏洞 137
4.6.1 漏洞原理 137
4.6.2 漏洞利用 139
4.6.3 繞過(guò)方法 145
4.6.4 命令執(zhí)行漏洞的防御 146
練習(xí)題 146
第5章 數(shù)據(jù)庫(kù)安全 148
5.1 數(shù)據(jù)庫(kù)基礎(chǔ) 148
5.1.1 數(shù)據(jù)庫(kù)和安全問(wèn)題 148
5.1.2 PhpStudy中的MySQL 149
5.1.3 MySQL基本指令 150
5.1.4 MySQL與PHP的連接 157
5.2 SQL注入漏洞 158
5.2.1 漏洞原理 158
5.2.2 萬(wàn)能密碼 159
5.2.3 跨表檢索 162
5.2.4 注入點(diǎn)類(lèi)型 170
5.2.5 基本SQL注入 173
5.2.6 高階SQL注入 177
5.3 繞過(guò)WAF的SQL注入 190
5.3.1 WAF基礎(chǔ) 190
5.3.2 繞過(guò)方法 191
5.4 SQL注入漏洞的防御 195
練習(xí)題 195
附錄 與安全相關(guān)的法律法規(guī) 197
參考文獻(xiàn) 200
書(shū)單推薦
