加载中…
个人资料
  • 博客等级:
  • 博客积分:
  • 博客访问:
  • 关注人气:
  • 获赠金笔:0支
  • 赠出金笔:0支
  • 荣誉徽章:
正文 字体大小:

代码审计好书:《代码审计:企业级Web代码安全架构》

(2017-04-02 11:16:05)
标签:

web安全

代码审计

php安全

seay博客

分类: 信息安全
   http://s7/mw690/001aaiROzy79YUl7PFQ86&690
      这部书原本浏览过一遍,因为不够认真,印象不是很深。最近花两个星期的时间认真阅读并手工敲入所有的代码试验,受益匪浅。此书相当简洁,用非常简单的例子谈到php代码的许多安全问题,提玄勾要,特别重视php代码审计思路,在漏洞挖掘与防范上讲解非常透彻,同时提供一些小技巧,对php安全编码以及业务功能安全设计以及应用安全体系建设都讲解得十分精明扼要,干货很多。所以只需要认真阅读本书,按照作者指示的思路多实验,代码审计就可以入门了。此书虽然只有220多页,但是内容非常丰富,没有凑字数的内容,是一部非常不错的网络安全著作,良心作品,值得推荐。
     作者博客也分享很多安全方面的好东西 http://www.cnseay.com/


编辑推荐

《代码审计:企业级Web代码安全架构》由机械工业出版社出版。《代码审计:企业级Web代码安全架构》详细介绍代码审计的设计思路以及所需要的工具和方法,不仅用大量案例介绍了实用方法,而且剖析了各种代码安全问题的成因与预防策略。无论是对开发人员还是安全技术人员都有参考价值。

作者简介

尹毅,网名Seay,阿里巴巴安全专家,Seay源代码审计系统作者,也是知名网络安全客的博主,至今个人博客访问量超百万。他15岁便开始接触网络安全,致力于Web安全研究,开发了大量的安全工具,乐于分享,在代码审计和渗透测试方面有丰富的经验。

目录

序言 
前言 
导读 
第一部分代码审计前的准备 
第1章代码审计环境搭建2 
1.1wamp/wnmp环境搭建2 
1.2lamp/lnmp环境搭建4 
1.3PHP核心配置详解6 
第2章审计辅助与漏洞验证工具14 
2.1代码编辑器14 
2.1.1Notepad++15 
2.1.2UltraEdit15 
2.1.3Zend Studio19 
2.2代码审计工具21 
2.2.1Seay源代码审计系统21 
2.2.2Fortify SCA24 
2.2.3RIPS25 
2.3漏洞验证辅助27 
2.3.1Burp Suite27 
2.3.2浏览器扩展32 
2.3.3编码转换及加解密工具36 
2.3.4正则调试工具38 
2.3.5SQL执行监控工具40 
第二部分漏洞发现与防范 
第3章通用代码审计思路46 
3.1敏感函数回溯参数过程46 
3.2通读全文代码50 
3.3根据功能点定向审计64 
第4章漏洞挖掘与防范(基础篇)68 
4.1SQL注入漏洞68 
4.1.1挖掘经验69 
4.1.2漏洞防范74 
4.2XSS漏洞77 
4.2.1挖掘经验77 
4.2.2漏洞防范82 
4.3CSRF漏洞83 
4.3.1挖掘经验83 
4.3.2漏洞防范85 
第5章漏洞挖掘与防范(进阶篇)88 
5.1文件操作漏洞88 
5.1.1文件包含漏洞88 
5.1.2文件读取(下载)漏洞93 
5.1.3文件上传漏洞95 
5.1.4文件删除漏洞99 
5.1.5文件操作漏洞防范100 
5.2代码执行漏洞102 
5.2.1挖掘经验102 
5.2.2漏洞防范108 
5.3命令执行漏洞108 
5.3.1挖掘经验109 
5.3.2漏洞防范112 
第6章漏洞挖掘与防范(深入篇)114 
6.1变量覆盖漏洞114 
6.1.1挖掘经验115 
6.1.2漏洞防范121 
6.2逻辑处理漏洞122 
6.2.1挖掘经验122 
6.2.2漏洞防范130 
6.3会话认证漏洞131 
6.3.1挖掘经验131 
6.3.2漏洞防范135 
第7章二次漏洞审计136 
7.1什么是二次漏洞136 
7.2二次漏洞审计技巧137 
7.3dedecms二次注入漏洞分析137 
第8章代码审计小技巧142 
8.1钻GPC等转义的空子142 
8.1.1不受GPC保护的$_SERVER变量142 
8.1.2编码转换问题143 
8.2神奇的字符串146 
8.2.1字符处理函数报错信息泄露146 
8.2.2字符串截断148 
8.3php://输入输出流150 
8.4PHP代码解析标签153 
8.5fuzz漏洞发现154 
8.6不严谨的正则表达式156 
8.7十余种MySQL报错注入157 
8.8Windows FindFirstFile利用161 
8.9PHP可变变量162 
第三部分PHP安全编程规范 
第9章参数的安全过滤166 
9.1第三方过滤函数与类166 
9.1.1discuz SQL安全过滤类分析167 
9.1.2discuz xss标签过滤函数分析173 
9.2内置过滤函数175 
第10章使用安全的加密算法177 
10.1对称加密177 
10.1.13DES加密178 
10.1.2AES加密180 
10.2非对称加密183 
10.3单向加密185 
第11章业务功能安全设计187 
11.1验证码187 
11.1.1验证码绕过187 
11.1.2验证码资源滥用191 
11.2用户登录192 
11.2.1撞库漏洞192 
11.2.2API登录193 
11.3用户注册194 
11.4密码找回195 
11.5资料查看与修改197 
11.6投票/积分/抽奖198 
11.7充值支付200 
11.8私信及反馈200 
11.9远程地址访问202 
11.10文件管理204 
11.11数据库管理205 
11.12命令/代码执行206 
11.13文件/数据库备份207 
11.14API208 
第12章应用安全体系建设211 
12.1用户密码安全策略211 
12.2前后台用户分表213 
12.3后台地址隐藏215 
12.4密码加密存储方式216 
12.5登录限制218 
12.6API站库分离218 
12.7慎用第三方服务219 
12.8严格的权限控制220 
12.9敏感操作多因素验证221 
12.10应用自身的安全中心223 
参考资源227

0

阅读 收藏 喜欢 打印举报/Report
  

新浪BLOG意见反馈留言板 欢迎批评指正

新浪简介 | About Sina | 广告服务 | 联系我们 | 招聘信息 | 网站律师 | SINA English | 产品答疑

新浪公司 版权所有