軟體安全技術

《軟體安全技術》是2018年機械工業出版社出版的圖書，作者是陳波。

基本介紹

• 中文名：軟體安全技術
• 作者：陳波
• 出版時間：2018年8月
• 出版社：機械工業出版社
• ISBN：9787111601005
• 定價：79 元
• 開本：16 開
• 裝幀：平裝

內容簡介

《軟體安全技術》介紹在軟體開發過程中從根本上提高軟體安全性的基本技術。《軟體安全技術》分4個部分共14章。第1部分為軟體安全概述，第24部分分別針對三大類軟體安全威脅：軟體自身的安全（軟體漏洞）、惡意代碼及軟體侵權展開介紹。第2部分為軟體安全開發，包括軟體漏洞概述、Windows系統典型漏洞分析和Web漏洞分析3章，還包括軟體安全開發模型，以及軟體安全開發生命周期每一個環節中的安全技術共6章。第3部分為惡意代碼防護，包括兩章內容，分別介紹惡意代碼分析基本技術，以及惡意代碼法律防治措施和技術防治技術。第4部分為軟體侵權保護，包括兩章內容，分別介紹開源軟體及其安全性，以及軟體智慧財產權法律保護和技術保護措施。 《軟體安全技術》可作為信息安全、計算機和軟體工程等專業的教材，也適用於軟體開發人員、軟體架構師和軟體測試等從業人員、還可供註冊軟體生命周期安全師、註冊軟體安全專業人員、註冊信息安全專業人員，以及計算機軟體開發人員或編程愛好者參考和使用。

圖書目錄

前言

第1章軟體安全概述

1.1軟體安全的重要性

【案例1】零日攻擊、網路戰與

軟體安全

【案例1思考與分析】

1.2軟體面臨的安全威脅

1.2.1軟體漏洞

1.2.2惡意代碼

1.2.3軟體侵權

1.3軟體安全的概念

1.3.1軟體安全的一些定義

1.3.2用信息安全的基本屬性理解

軟體安全

1.3.3軟體安全相關概念辨析

1.4軟體安全的研究內容

1.4.1軟體安全是信息安全保障的

重要內容

1.4.2軟體安全的主要方法和技術

1.5思考與實踐

1.6學習目標檢驗

第2章軟體漏洞概述

2.1軟體漏洞的概念

2.1.1信息安全漏洞

2.1.2軟體漏洞

2.1.3軟體漏洞成因分析

2.2軟體漏洞標準化管理

2.2.1軟體漏洞的分類

2.2.2軟體漏洞的分級

2.2.3軟體漏洞管理國際標準

2.2.4軟體漏洞管理國內標準

2.3漏洞管控的思考

【案例2-1】白帽黑客的罪與罰

【案例2-2】阿里巴巴月餅門

【案例2-1和案例2-2思考與分析】

2.4思考與實踐

2.5學習目標檢驗

第3章Windows系統典型漏洞

分析

3.1記憶體漏洞

3.1.1記憶體結構及緩衝區溢出

3.1.2棧溢出漏洞及利用分析

3.1.3堆溢出漏洞及利用分析

3.1.4格式化字元串漏洞及

利用分析

3.2Windows安全漏洞保護分析

3.2.1棧溢出檢測選項/GS

3.2.2數據執行保護DEP

3.2.3地址空間布局隨機化ASLR

3.2.4安全結構化異常處理

SafeSEH

3.2.5增強緩解體驗工具包EMET

【案例3】Windows安全漏洞保護

技術套用

【案例3思考與分析】

3.3思考與實踐

3.4學習目標檢驗

第4章Web漏洞分析

4.1Web基礎

4.1.1Web基本架構

4.1.2一次Web訪問過程分析

4.2Web漏洞概述

4.3SQL注入漏洞

4.3.1漏洞原理及利用

4.3.2漏洞防護的基本措施

【案例4-1】SQL注入漏洞原始碼層

分析

【案例4-1思考與分析】

4.4XSS跨站腳本漏洞

4.4.1漏洞原理及利用

4.4.2漏洞防護的基本措施

【案例4-2】XSS漏洞原始碼層

分析

【案例4-2思考與分析】

4.5CSRF跨站請求偽造漏洞

4.5.1漏洞原理及利用

4.5.2漏洞防護的基本措施

4.6其他Web漏洞

4.6.1命令執行漏洞原理及利用

4.6.2檔案包含漏洞原理及利用

4.6.3檔案上傳漏洞原理及利用

4.7思考與實踐

4.8學習目標檢驗

第5章軟體安全開發模型

5.1軟體開發模型

5.1.1軟體生命周期

5.1.2軟體過程與軟體開發模型

5.2軟體安全開發模型

5.2.1微軟的軟體安全開發生命

周期模型

5.2.2McGraw的軟體內建安全

開發模型

5.2.3NIST的軟體安全開發生命

周期模型

5.2.4OWASP的軟體安全

開發模型

5.2.5軟體安全開發模型特點比較

【案例5】Web套用漏洞消減

模型設計

【案例5思考與分析】

5.3思考與實踐

5.4學習目標檢驗

第6章軟體安全需求分析

6.1軟體需求分析與軟體安全

需求分析

6.1.1軟體需求分析的主要工作

6.1.2軟體安全需求分析的主要

工作

6.2軟體安全需求的來源

6.2.1軟體安全需求的來源分類

6.2.2軟體安全遵從性需求

6.3軟體安全需求的獲取

6.3.1軟體安全需求獲取相關方

6.3.2軟體安全需求獲取方法

【案例6】一個線上學習系統的

安全需求分析

【案例6思考與分析】

6.4思考與實踐

6.5學習目標檢驗

第7章軟體安全設計

7.1軟體設計與軟體安全設計

7.1.1軟體設計的主要工作

7.1.2軟體安全設計的主要工作

7.2軟體安全設計原則

7.2.1經典安全設計原則條目

7.2.2安全設計原則介紹

7.3軟體安全功能設計

7.3.1一個基本Web套用系統的

安全功能設計

7.3.2基於安全模式的軟體安全

設計

7.4威脅建模

7.4.1威脅建模的概念

7.4.2威脅建模的過程

【案例7】對一個簡單的Web套用

系統進行威脅建模

【案例7思考與分析】

7.5思考與實踐

7.6學習目標檢驗

第8章軟體安全編碼

8.1軟體安全編碼概述

8.1.1軟體安全編碼的主要工作

8.1.2軟體安全編碼的基本原則

8.2開發語言的安全性

8.2.1C語言安全編碼

8.2.2Java語言安全編碼

8.3安全編碼實踐

8.3.1輸入驗證

8.3.2數據淨化

8.3.3錯誤信息輸出保護

8.3.4數據保護

8.3.5其他安全編碼實踐

【案例8】基於OpenSSL的C/S

安全通信程式

【案例8思考與分析】

8.4思考與實踐

8.5學習目標檢驗

第9章軟體安全測試

9.1軟體測試與軟體安全測試

9.1.1軟體測試的主要工作

9.1.2軟體安全測試的主要工作

9.2軟體安全功能測試

9.3代碼分析

9.3.1代碼靜態分析與代碼動態

分析的概念

9.3.2原始碼靜態分析的一般過程

9.3.3原始碼靜態分析工具

9.4模糊測試

9.4.1模糊測試的概念

9.4.2模糊測試過程

9.4.3模糊測試工具

9.5滲透測試

9.5.1滲透測試的概念

9.5.2滲透測試過程

9.5.3滲透測試工具

【案例9】Web套用安全測試與

安全評估

【案例9思考與分析】

9.6思考與實踐

9.7學習目標檢驗

第10章軟體安全部署

10.1軟體部署與安全

10.1.1軟體部署的主要工作

10.1.2軟體安全部署的主要工作

10.2軟體安裝配置安全與

運行安全

10.2.1軟體安裝配置安全

10.2.2軟體運行安全

10.3軟體運行環境安全配置與

運行安全

10.3.1基礎環境軟體的安全配置

10.3.2基礎環境軟體漏洞監測與

修復

【案例10】SSL/TLS協定的安全實現

與安全部署

【案例10思考與分析】

10.4思考與實踐

10.5學習目標檢驗

第11章惡意代碼分析基礎

11.1計算機啟動過程

11.1.1計算機初始化啟動過程及

其安全性分析

11.1.2作業系統啟動過程及其

安全性分析

11.2程式的生成和運行

11.2.1程式生成和運行的

典型過程

11.2.2編譯/連結與程式的構建

11.2.3載入與程式的運行

11.3PE檔案

11.3.1PE檔案的概念

11.3.2PE檔案的結構

11.3.3地址映射

11.3.4導入函式地址表和導入表

【案例11-1】構造一個PE格式的

執行檔

【案例11-1思考與分析】

11.4程式的逆向分析

11.4.1逆向工程

11.4.2逆向工程相關工具及套用

【案例11-2】OllyDbg逆向分析

套用

【案例11-2思考與分析】

【案例11-3】IDA逆向分析套用

【案例11-3思考與分析】

11.5思考與實踐

11.6學習目標檢驗

第12章惡意代碼防治

12.1惡意代碼機理分析

12.1.1計算機病毒

12.1.2蠕蟲

12.1.3木馬

12.1.4後門

12.1.5Rootkit

12.1.6勒索軟體

12.1.7惡意代碼技術的發展

【案例12】WannaCry勒索軟體

分析

【案例12思考與分析】

12.2惡意代碼涉及的法律問題與

防治管理

12.2.1惡意代碼涉及的法律問題

12.2.2惡意代碼防治管理

12.3面向惡意代碼檢測的軟體

可信驗證

12.3.1軟體可信驗證模型

12.3.2特徵可信驗證

12.3.3身份（來源）可信驗證

12.3.4能力（行為）可信驗證

12.3.5運行環境可信驗證

12.4思考與實踐

12.5學習目標檢驗

第13章開源軟體及其安全性

13.1開源軟體概述

13.1.1軟體分類

13.1.2開源軟體的概念

13.1.3開源軟體受到追捧的原因

13.2開源軟體的智慧財產權

13.2.1開源軟體涉及的主要權益

13.2.2開源軟體的授權模式

【案例13】主流開源許可證套用

分析

【案例13思考與分析】

13.3開源軟體的安全性反思

13.4思考與實踐

13.5學習目標檢驗

第14章軟體智慧財產權保護

14.1軟體智慧財產權的法律保護

14.1.1軟體的智慧財產權

14.1.2軟體智慧財產權的法律

保護途徑

【案例14-1】對iOS系統越獄行為的

分析

【案例14-1思考與分析】

14.2軟體著作權的技術保護

14.2.1軟體著作權的技術保護目標及

基本原則

14.2.2軟體著作權保護的基本技術

【案例14-2】.NET平台下的軟體著作權

保護

【案例14-2思考與分析】

14.2.3雲環境下的軟體著作權保護

14.3思考與實踐

14.4學習目標檢驗

參考文獻