书籍详情
Web安全测试
作者：（美）Steven Splaine；李昂等译；李昂译
出版社：机械工业出版社
出版时间：2003-05-01
ISBN：9787111119081
定价：¥39.00
购买这本书可以去
内容简介
本书分为五个部分：第一部分提供了本书的概述并阐明了本书的主要框架。第二部分为“测试计划”，并涉及围绕着计划测试效果的一些相关事项。第三部分“测试设计”是本书的重点，大部分内容为详细列举的各种各样的可选测试，这一部分包括了第3、4、5、6、7、8章。第四部分是“测试实施”，讲述如何最好地执行这些测试，即由谁来实际做这些工作、需要使用什么工具以及以什么顺序执行测试（排列测试优先级），这部分包括第9章和第10章。在全书的最后，还附有丰富的附录，提供了大量的背景知识。 本书使用了最新的材料，书中所列各种测试方法都有实际的步骤及具体的项目，因而操作性较强，是一本不可多得的好书。本书适合专业的网站安全评估人员阅读，对于各公司的CIO、系统管理员以及广大的网络技术研究者也很有参考价值。 计划安全测试的效果：策略、测试团队以及工具 如何定义项目的范围 测试网络安全和系统软件的配置 检查Web应用的安全性漏洞 评估一个组织如何有效防范那些使用社会工程、垃圾搜寻、内部同谋以及物理破坏方式的攻击 有关对那些用来混淆入侵者的设计进行测试的独特挑战 使用风险分析来关注对组织具有最大威胁的领域的测试效果。
作者简介
暂缺《Web安全测试》作者简介
目录
第一部分 本书概述
第1章 概述
1.1 本书的目的
1.2 本书的测试方法
1.3 本书的组织
1.4 本书所用的术语
1.4.1 黑客、破解者、脚本玩家及心怀不满的内部人员
1.4.2 测试词汇
1.5 本书的读者对象
1.6 小结
第二部分 计划测试效果
第2章 测试计划
2.1 需求
2.1.1 澄清要求
2.1.2 安全策略
2.2 测试计划的结构
2.2.1 测试计划标识
2.2.2 介绍
2.2.3 项目范围
2.2.4 变动控制过程
2.2.5 待测的特性
2.2.6 不测的特性
2.2.7 方法
2.2.8 通过/未通过标准
2.2.9 暂停标准和重置要求
2.2.10 测试交付物
2.2.11 环境需要
2.2.12 配置管理
2.2.13 责任
2.2.14 提供人员和培训需要
2.2.15 进度
2.2.16 项目结束
2.2.17 预计风险和应急措施
2.2.18 情况
2.2.19 假设
2.2.20 约束和依赖
2.2.21 简写和定义
2.2.22 引用
2.2.23 批准
2.3 主测试计划
2.4 小结
第三部分 测试设计
第3章 网络安全
3.1 界定方法
3.2 界定样例
3.2.1 旅馆连锁店
3.2.2 家具制造厂
3.2.3 会计公司
3.2.4 搜索引擎
3.2.5 测试实验室
3.2.6 暂停标准
3.3 设备清单
3.4 网络拓扑
3.5 确认网络设计
3.5.1 网络设计修订
3.5.2 网络设计检验
3.6 核对设备清单
3.6.1 物理位置
3.6.2 未授权的设备
3.6.3 网络地址
3.7 核对网络拓扑
3.7.1 网络连接
3.7.2 设备可访问性
3.8 补充的网络安全
3.8.1 网络地址破坏
3.8.2 安全的LAN通信
3.8.3 无线网段
3.8.4 DoS攻击
3.9 小结
第4章 系统软件安全
4.1 安全认证
4.2 补丁
4.3 强化
4.4 屏蔽
4.5 服务
4.6 目录和文件
4.7 用户ID与密码
4.7.1 手工猜测用户ID和密码
4.7.2 自动猜测用户ID和密码
4.7.3 经由社会工程获得信息
4.7.4 心怀不满的雇员策划违法行为
4.8 用户组
4.9 小结
第5章 客户端应用程序安全
5.1 应用程序攻击点
5.2 客户端识别和验证
5.2.1 基于用户知道的信息：knows-something方法
5.2.2 基于用户拥有的东西：has-something方法
5.2.3 基于用户是什么的特性：生物测定学方法
5.3 用户许可
5.3.1 功能限制
5.3.2 数据限制
5.3.3 功能和数据交叉限制
5.4 测试非法导航
5.4.1 HTTP报头分析
5.4.2 HTTP报头期满
5.4.3 客户端应用程序代码
5.4.4 Session ID
5.4.5 导航工具
5.5 客户端数据
5.5.1 cookie
5.5.2 hidden字段
5.5.3 URL
5.5.4 本地数据文件
5.5.5 Windows注册表
5.6 安全的客户端传输
5.6.1 数字证书
5.6.2 加密强度
5.6.3 混合加密和未加密内容
5.6.4 避免加密瓶颈
5.7 移动式应用程序代码
5.7.1 ActiveX控件
5.7.2 Java applet
5.7.3 客户端脚本
5.7.4 探测特洛伊木马移动式代码
5.8 客户端安全
5.8.1 防火墙
5.8.2 浏览器安全设置
5.8.3 客户端自适应代码
5.8.4 客户端嗅探
5.9 小结
第6章 服务器端应用程序安全
6.1 CGI
6.1.1 语言选择
6.1.2 CGI与输入数据
6.1.3 许可和目录
6.1.4 可扩充性
6.2 第三方CGI脚本
6.3 服务器端包含
6.4 动态代码
6.4.1 查看模板
6.4.2 单点失败
6.4.3 系统命令
6.4.4 示范脚本
6.4.5 有用的错误消息
6.5 应用程序代码
6.5.1 可编译源代码
6.5.2 不可编译的源代码
6.5.3 版权
6.5.4 有用的错误消息
6.5.5 旧版本
6.6 输入数据
6.6.1 无效数据类型
6.6.2 无效范围
6.6.3 缓冲区溢出
6.6.4 扩展符
6.7 服务器端数据
6.7.1 数据文件名
6.7.2 数据绊网
6.7.3 数据保险箱
6.7.4 WORM
6.7.5 数据加密
6.7.6 数据伪装
6.7.7 数据安全岛
6.7.8 分布式的拷贝
6.7.9 碎片数据
6.7.10 由数据库管理系统加强的约束
6.7.11 过滤的索引
6.8 应用程序级入侵者侦查
6.9 小结
第7章 潜在的攻击：防范很少考虑的安全威胁
7.1 打击社交工程
7.1.1 通过电话
7.1.2 通过电子邮件
7.1.3 通过额外的信件
7.1.4 欺骗个人
7.2 处理Dumpster Diver
7.2.1 对纸张的合适处理
7.2.2 清理头脑风暴会议之后的遗留信息
7.2.3 正确处置电子硬件设备
7.3 提防内部同谋
7.3.1 预防措施和威慑手段
7.3.2 探测措施
7.3.3 补救和检举措施
7.4 防止物理攻击
7.4.1 设备的安全保护
7.4.2 硬件的安全保护
7.4.3 软件的安全保护
7.4.4 数据的安全保护
7.5 对自然灾难的预防
7.6 防止恶意破坏
7.7 小结
第8章 入侵者混淆、探测和响应
8.1 入侵者混淆
8.1.1 动态防护
8.1.2 欺骗性防护
8.1.3 honey pot
8.1.4 侵入混淆的评价
8.2 侵入探测
8.2.1 侵入探测系统
8.2.2 审计跟踪
8.2.3 绊网与校验和
8.2.4 有害软件
8.2.5 监控
8.3 侵入响应
8.3.1 侵入确认
8.3.2 破坏遏制
8.3.3 破坏评估和法律调查
8.3.4 破坏控制和恢复
8.3.5 系统抢救和恢复
8.3.6 通知
8.3.7 起诉和反攻击
8.3.8 策略检查
8.4 小结
第四部分 测试实施
第9章 评估和渗透选择
9.1 人员选择
9.1.1 自己做
9.1.2 请专业公司做
9.1.3 自己做和请专业公司做结合的测试方法
9.2 测试工具
9.2.1 人工方法
9.2.2 自动方法
9.2.3 工具评价
9.3 小结
第10章 风险分析
10.1 重用
10.1.1 资产审核
10.1.2 漏洞树和攻击树
10.1.3 差距分析
10.2 测试优先级
10.2.1 设备清单
10.2.2 威胁
10.2.3 业务影响
10.2.4 风险可能性
10.2.5 计算相对危险程度
10.2.6 标识和指定候选测试
10.2.7 优先级修改
10.2.8 测试时间表
10.2.9 FMECA
10.3 小结
第五部分 附 录
附录A 网络协议、地址和设备概述
附录B SANS评出的前20种关键的Internet安全漏洞
附录C 可交付的测试模板
附录D 其他资源
第1章 概述
1.1 本书的目的
1.2 本书的测试方法
1.3 本书的组织
1.4 本书所用的术语
1.4.1 黑客、破解者、脚本玩家及心怀不满的内部人员
1.4.2 测试词汇
1.5 本书的读者对象
1.6 小结
第二部分 计划测试效果
第2章 测试计划
2.1 需求
2.1.1 澄清要求
2.1.2 安全策略
2.2 测试计划的结构
2.2.1 测试计划标识
2.2.2 介绍
2.2.3 项目范围
2.2.4 变动控制过程
2.2.5 待测的特性
2.2.6 不测的特性
2.2.7 方法
2.2.8 通过/未通过标准
2.2.9 暂停标准和重置要求
2.2.10 测试交付物
2.2.11 环境需要
2.2.12 配置管理
2.2.13 责任
2.2.14 提供人员和培训需要
2.2.15 进度
2.2.16 项目结束
2.2.17 预计风险和应急措施
2.2.18 情况
2.2.19 假设
2.2.20 约束和依赖
2.2.21 简写和定义
2.2.22 引用
2.2.23 批准
2.3 主测试计划
2.4 小结
第三部分 测试设计
第3章 网络安全
3.1 界定方法
3.2 界定样例
3.2.1 旅馆连锁店
3.2.2 家具制造厂
3.2.3 会计公司
3.2.4 搜索引擎
3.2.5 测试实验室
3.2.6 暂停标准
3.3 设备清单
3.4 网络拓扑
3.5 确认网络设计
3.5.1 网络设计修订
3.5.2 网络设计检验
3.6 核对设备清单
3.6.1 物理位置
3.6.2 未授权的设备
3.6.3 网络地址
3.7 核对网络拓扑
3.7.1 网络连接
3.7.2 设备可访问性
3.8 补充的网络安全
3.8.1 网络地址破坏
3.8.2 安全的LAN通信
3.8.3 无线网段
3.8.4 DoS攻击
3.9 小结
第4章 系统软件安全
4.1 安全认证
4.2 补丁
4.3 强化
4.4 屏蔽
4.5 服务
4.6 目录和文件
4.7 用户ID与密码
4.7.1 手工猜测用户ID和密码
4.7.2 自动猜测用户ID和密码
4.7.3 经由社会工程获得信息
4.7.4 心怀不满的雇员策划违法行为
4.8 用户组
4.9 小结
第5章 客户端应用程序安全
5.1 应用程序攻击点
5.2 客户端识别和验证
5.2.1 基于用户知道的信息：knows-something方法
5.2.2 基于用户拥有的东西：has-something方法
5.2.3 基于用户是什么的特性：生物测定学方法
5.3 用户许可
5.3.1 功能限制
5.3.2 数据限制
5.3.3 功能和数据交叉限制
5.4 测试非法导航
5.4.1 HTTP报头分析
5.4.2 HTTP报头期满
5.4.3 客户端应用程序代码
5.4.4 Session ID
5.4.5 导航工具
5.5 客户端数据
5.5.1 cookie
5.5.2 hidden字段
5.5.3 URL
5.5.4 本地数据文件
5.5.5 Windows注册表
5.6 安全的客户端传输
5.6.1 数字证书
5.6.2 加密强度
5.6.3 混合加密和未加密内容
5.6.4 避免加密瓶颈
5.7 移动式应用程序代码
5.7.1 ActiveX控件
5.7.2 Java applet
5.7.3 客户端脚本
5.7.4 探测特洛伊木马移动式代码
5.8 客户端安全
5.8.1 防火墙
5.8.2 浏览器安全设置
5.8.3 客户端自适应代码
5.8.4 客户端嗅探
5.9 小结
第6章 服务器端应用程序安全
6.1 CGI
6.1.1 语言选择
6.1.2 CGI与输入数据
6.1.3 许可和目录
6.1.4 可扩充性
6.2 第三方CGI脚本
6.3 服务器端包含
6.4 动态代码
6.4.1 查看模板
6.4.2 单点失败
6.4.3 系统命令
6.4.4 示范脚本
6.4.5 有用的错误消息
6.5 应用程序代码
6.5.1 可编译源代码
6.5.2 不可编译的源代码
6.5.3 版权
6.5.4 有用的错误消息
6.5.5 旧版本
6.6 输入数据
6.6.1 无效数据类型
6.6.2 无效范围
6.6.3 缓冲区溢出
6.6.4 扩展符
6.7 服务器端数据
6.7.1 数据文件名
6.7.2 数据绊网
6.7.3 数据保险箱
6.7.4 WORM
6.7.5 数据加密
6.7.6 数据伪装
6.7.7 数据安全岛
6.7.8 分布式的拷贝
6.7.9 碎片数据
6.7.10 由数据库管理系统加强的约束
6.7.11 过滤的索引
6.8 应用程序级入侵者侦查
6.9 小结
第7章 潜在的攻击：防范很少考虑的安全威胁
7.1 打击社交工程
7.1.1 通过电话
7.1.2 通过电子邮件
7.1.3 通过额外的信件
7.1.4 欺骗个人
7.2 处理Dumpster Diver
7.2.1 对纸张的合适处理
7.2.2 清理头脑风暴会议之后的遗留信息
7.2.3 正确处置电子硬件设备
7.3 提防内部同谋
7.3.1 预防措施和威慑手段
7.3.2 探测措施
7.3.3 补救和检举措施
7.4 防止物理攻击
7.4.1 设备的安全保护
7.4.2 硬件的安全保护
7.4.3 软件的安全保护
7.4.4 数据的安全保护
7.5 对自然灾难的预防
7.6 防止恶意破坏
7.7 小结
第8章 入侵者混淆、探测和响应
8.1 入侵者混淆
8.1.1 动态防护
8.1.2 欺骗性防护
8.1.3 honey pot
8.1.4 侵入混淆的评价
8.2 侵入探测
8.2.1 侵入探测系统
8.2.2 审计跟踪
8.2.3 绊网与校验和
8.2.4 有害软件
8.2.5 监控
8.3 侵入响应
8.3.1 侵入确认
8.3.2 破坏遏制
8.3.3 破坏评估和法律调查
8.3.4 破坏控制和恢复
8.3.5 系统抢救和恢复
8.3.6 通知
8.3.7 起诉和反攻击
8.3.8 策略检查
8.4 小结
第四部分 测试实施
第9章 评估和渗透选择
9.1 人员选择
9.1.1 自己做
9.1.2 请专业公司做
9.1.3 自己做和请专业公司做结合的测试方法
9.2 测试工具
9.2.1 人工方法
9.2.2 自动方法
9.2.3 工具评价
9.3 小结
第10章 风险分析
10.1 重用
10.1.1 资产审核
10.1.2 漏洞树和攻击树
10.1.3 差距分析
10.2 测试优先级
10.2.1 设备清单
10.2.2 威胁
10.2.3 业务影响
10.2.4 风险可能性
10.2.5 计算相对危险程度
10.2.6 标识和指定候选测试
10.2.7 优先级修改
10.2.8 测试时间表
10.2.9 FMECA
10.3 小结
第五部分 附 录
附录A 网络协议、地址和设备概述
附录B SANS评出的前20种关键的Internet安全漏洞
附录C 可交付的测试模板
附录D 其他资源
猜您喜欢
