基本介紹
- 中文名：WEB安全基礎教程Web安全基礎教程
- 作者：佟暉、張作峰
- 出版社：北京師範大學出版社
- ISBN：9787303223770
內容簡介,圖書目錄,作者簡介,
內容簡介
本書共分5個正篇17個章節和1個附錄，正篇包括：Web安全基礎介紹、Web安全測試方法、Web常見漏洞介紹、Web安全實戰演練、日常安全意識。附錄部分為相關課程設計了大綱框架圖。
圖書目錄
第1章 Web安全簡介 1
1.1 最新安全事件（視頻介紹） 1
1.2 黑客、白客、灰客 2
1.3 網站入侵的途徑 2
1.4 實戰演練（網站入侵） 4
1.5 如何學好Web安全 9
第2章 Web安全基礎知識介紹 11
2.1 Web架構介紹 11
2.1.1 ASP 11
2.1.2 PHP 12
2.1.3 JSP 14
2.2 HTTP協定介紹 15
2.2.1 GET請求 17
2.2.2 POST請求 17
2.2.3 其他HTTP請求 18
2.3 實戰操作 19
第3章 信息探測 23
3.1 Google Hacking 23
3.1.1 蒐集子域名 23
3.1.2 蒐集Web信息 24
3.2 Nmap Scanning 28
3.2.1 安裝Nmap 28
3.2.2 探測主機信息 33
3.3 實戰操作 36
第4章 Web漏洞檢測工具簡介 37
4.1 AWVS 介紹 37
4.1.1 WVS嚮導掃描 37
4.1.2 Web掃描服務 40
4.2 AppScan介紹 43
4.2.1 使用AppScan掃描 43
4.2.2 處理結果 48
第5章 SQL注入漏洞 50
5.1 SQL注入原理 50
5.2 注入漏洞分類 52
5.2.1 數字型注入 52
5.2.2 字元型注入 54
5.3 注入工具 54
5.3.1 Sqlmap 54
5.3.2 Pangolin 57
5.4 實戰操作 63
第6章 上傳漏洞 64
6.1 直接上傳漏洞 64
6.2 中間件解析漏洞 66
6.2.1 IIS解析漏洞 66
6.2.2 Apache解析漏洞 68
6.2.3 Nginx解析漏洞 69
6.3 繞過上傳漏洞 70
6.3.1 客戶端檢測 70
6.3.2 伺服器端檢測 71
6.4 實戰操作 74
第7章 XSS跨站腳本漏洞 75
7.1 XSS原理解析 75
7.2 XSS類型 76
7.2.1 反射型XSS 76
7.2.2 存儲型XSS 77
7.3 實戰操作 79
第8章 命令執行漏洞 82
8.1 命令執行漏洞示例 82
8.2 命令執行模型 89
8.3 框架執行漏洞 94
8.3.1 Struts2代碼執行漏洞 96
8.3.2 java反序列化代碼執行漏洞 101
8.4 實戰操作 103
第9章 檔案包含漏洞 110
9.1 包含漏洞原理解析 110
9.1.1 本地檔案包含 111
9.1.2 遠程檔案包含 112
9.2 實戰操作 117
第10章 其他漏洞（簡單介紹） 120
10.1 CSRF 介紹 120
10.2 邏輯錯誤漏洞介紹 122
10.2.1 挖掘邏輯漏洞 122
10.2.2 繞過授權驗證 123
10.2.3 密碼找回邏輯漏洞 124
10.2.4 支付邏輯漏洞 127
10.2.5 指定賬戶惡意攻擊 128
10.3 URL跳轉與釣魚 128
10.4 實戰操作 131
第11章 暴力破解 133
11.1 暴力破解介紹 133
11.2 Burp Suite 介紹 133
11.2.1 Proxy 133
11.2.2 Intruder 136
11.3 暴力破解案例 138
11.4 實戰操作 145
第12章 旁註攻擊 150
12.1 IP逆向查詢 150
12.2 目錄越權 151
12.3 實戰操作 152
第13章 提權 153
13.1 獲取系統許可權 155
13.2 實戰操作 168
第14章 攻擊全過程 169
14.1 信息蒐集 169
14.2 漏洞掃描 172
14.3 手工測試 173
14.4 漏洞利用及getshell 181
14.5 提權 182
第15章 社會工程學 187
15.1 信息蒐集 187
15.2 實戰操作 191
第16章 電信詐欺手段還原 197
16.1 釣魚技術 197
16.2 改號軟體 203
16.3 貓池技術 205
第17章 IP溯源技術及標準化 213
17.1 網路攻擊模型 213
17.2 追蹤溯源技術 214
17.3 實戰操作 219
作者簡介
佟暉， 女，碩士，教授，碩士研究生導師。北京警察學院公安科技系副主任，北京警察學院學術委員會委員，北京市高等教育學會計算機教育研究會常務理事。先後承擔國家以及省部級項目10餘項，主編教材4部，發表論文30餘篇。公安部高等教育教學名師、全國優秀人民警察。
張作峰，男，本科學歷，十餘年網路安全行業從業經驗，主要研究方向web安全。具備行業內多項安全資質，目前為恆安嘉新（北京）科技有限公司安全攻防團隊負責人，曾圓滿的完成了北京奧運會、廣州亞運會、上海世博會、十八大、二十國集團峰會、世界網際網路大會等國家重要活動的網路安全技術保障任務。
