Hack Proofing Your Web Applications

第1章 黑客方法论

1．l 概过

1．2 黑客简史

1. 2. 1 电话系统黑客

1．2．2 计算机黑客

1．3 产生黑客的原因

1．3．l 黑客的两面性

1. 3．2 与安全专家共事

1．4 当前存在的几种攻击类型

1. 4．1 dos/ddos

1．4. 2 病毒攻击

1．4. 3 窃取

1．5 web应用程序面临的安全威胁

1．5．l 隐藏操作

1．5．2 参数篡改

1．5．3 站际脚本

1．5．4 缓冲区溢出

1．5．5 cookie毒药

1．6 预防黑客人侵

1．7 小结

.1．8 解决方案快速检索

1．9 常见问题

第2章 代码磨工

2．l 概述

2．2 代码磨工简介

2．3 创造性地编码

2．4 从代码磨工的角度考虑安全问题

2．5 创建功能安全的web应用程序

2．5．l 代码实现了它的功能

2．5．2 比功能更重要的安全问题

2．5．3 安全和功能兼得

2. 6 小结

2．7 解决方案快速检索

2. 8 常见问题

第3章 移动代码的危害性

3. 1 概述

3. 2 移动代码攻击产生的影响

3. 2．l 测览器攻击

3．2．2 客户端邮件系统攻击

3. 2．3 恶意脚本或者宏

3．3 认识基本形式的移动代码

3．3．1 宏语言：vba

3．3．2 javascript

3．3．3 vbscript

3．3．4 java小程序

3．3．5 activex控件

3. 3．6 电子邮件附件和下载的可执行程序

3. 4 保护系统免受移动代码攻击

3．4．1 安全软件

3．4．2 基于web的工具

3. 5 小结

3. 6 解决方案快速检索

3. 7 常见问题

第4章 易受攻击的cgi脚本

4．1 概述

4. 2 认识cgi脚本

4．2．1 cgi脚本的典型用法

4. 2．2 何时选择cgi

4．2．3 cgi脚本的主机问题

4. 3 蹩脚的cgi脚本导致的非法入侵

4．3．l 编写牢固的cgi脚本

4．3．2 可搜索索引命令

4．3．3 cgi封装程序

4．4 tol脚本的编程语言

4．4．1 unix shell

4．4．2 perl

4．4．3 c/c++

4．4．4 visual basic

4．5 cgi脚本的优点

4. 6 编写安全的cgi脚本的规则

4. 7 小结

4．8 解决方案快速检索

4．9 常见问题

第5章 黑窑技术和工具

5．1 概述

5．2 黑客的目标

5．2．l 减小被检测到的可能性

5，2．2 扩大访问权限

5．2．3 损失，损失，损失

5．2．4 反败为胜

5．3 黑客攻击的五个阶段

5．3．1 勾画攻击地图

5．3．2 制订可行计划

5．3．3 寻找突破口

5．3．4 持续深人访问

5．3．5 攻击

5．4 社会工程术

5．5 恶意的"后门"攻击

5．6 利用代码或编程环境的先天性缺陷

5．7 行业工具

5．7．1 十六进制编辑器

5．7．2 调试器

5．7．3 反汇编器

5．8 小结

5．9 解决方案快速检索

5．10 常见问题

第6章 代码审计与逆向工程

6．1 概述

6. 2 如何有效跟踪程序

6．3 审计和评估几种程序设计语言

6. 3. 1 java

6．3．2 java server puges

6．3．3 active server pages

6. 3．4 server side includes

6．3．5 pytnon

6．3．6 tool command language

6．3．7 practicalextraction and reportinglanguage

6．3．8 php：hypertext preprocessor

6．3. 9 c/c++

6．3．10 coldfusion

6．4 寻找弱点

6．4．l 从用户那里获得数据

6．4．2 查找缓冲区溢出

6. 4．3 检查对用户的输出

6．4. 4 检查文件系统的存取歧互

6. 4．5 检查外部程序和代码的执行情况

6．4．6 检查结构化查询语言（sql）/数据库查询

6．4．7 检查网络和通信报文流

6．5 综合考虑

6．6 小结

6．7 解决方案快速检索

6．8 常见问题

第7章 保护java代码

7．l 概述

7．2 java安全体系概述

7．2．1 java安全模型

7．2．2 沙盘

7．3 java的安全处理机制

7．3．1 类加载器

7．3．2 字节码校验器

7．3．3 java保护域

7．4 java的潜在弱点

7．4．1 dos攻击用医务降级攻击

7．4．2 第三方特洛伊木马攻击

7．5 编写安全而有效的java applet

7．5．1 消息文摘

7．5．2 数字签名

7．5. 3 身份识别

7. 5．4 使用jan签名来保证安全

7. 5．5 加密

7．5．6 sun microsystems对java的安全建议

7．6 小结

7．7 解决方案快速检索

7. 8 常见问题

第8章 保护xml

8．1 概述

8．2 xml的定义

8. 2. 1 逻辑结构

8．2. 2 元素

8．2．3 xml和xsl／dtd文档

8．2．4 xsl模板的使用

8．2. 5 xsl模式的使用

8．2．6 dtd

8．3 使用xml创建web应用程序

8．4 使用xml伴随的风险

8．5 保护xml

8．5．1 xml加密

8．5．2 xml数字签名

8．6 小结

8．7 解决方案快速检索

8．8 常见问题

第9章 保护activex网络控件

9．1 概述

9．2 使用activex伴随的危险

9．2．1 避免activex的常见弱点

9．2．2 减少activex弱点的影响

9．3 编写安全activex控件的方法

9．4 保护activex控件

9．4．1 控件签名

9．4．2 标记控件

9．5 小结

9．6 解决方案快速检索

9．7 常见问题

第10章 保护coldfusion

10．l 概述

10．2 coldfusion的工作方式

10．2．l 充分利用快速开发的优点

10．2．2 coldfusion标记语言

10．3 保护coldfusion的安全

10．3．l 安全开发

10．3．2 安全配置

10．4 coldfusion应用程序处理

10．4．1 数据存在性检验

10．4．2 数据类型检验

10．4．3 数据赋值

1o．5 使用chldfusion伴随的危险

10. 6 使用逐个会话跟踪

10. 7 小结

10．8 解决方案快速检索

10．9 常见问题

第11章 开发安全的应用程序

11．1 概述

11．2 使用安全应用程序的好处

11．3 应用程序中使用的安全类型

11．3．1 数字签名

11．3．2 pretty good privacy

11．3．3 安全多用途网际邮件扩充协议

11．3．4 安全套按字协议层

11．3．5 数字证书

11．4 pki基础知识回顾

11．5 使用pki保护web应用程序

11．6 在web基础结构中实现pki

11. 6．1 microsoft的证书服务

11．6．2 netscape证书服务

11．6．3 apache服务器的pki

11．6．4 pki和安全软件包

11．7 测试安全实现

11．8 小结

11．9 解决方案快速检索

11．10 常见问题

第12章 制订安全计划指导工作

12．1 概述

12．2 代码审查

12．2．l 代码审查

12．2．2 对等代码审查

12．3 意识到代码的脆弱性

12．4 编码时使用常识

12．4．1 计划编制

12．4. 2 编码标准

12．4．3 工具

12．5 制订安全计划

12．5．l 网络级安全计划

12．5．2 应用程序级安全计划

12．5．3 桌面级安全计划

12．5．4 web应用程序安全处理

12．6 小结

12．7 解决方案快速检索

12．8 常见问题