代码审计-企业级Web代码安全架构 版权信息
- 出版社：机械工业出版社
- 出版时间：2016-01-01
- ISBN：9787111520061
- 条形码：9787111520061 ; 978-7-111-52006-1
代码审计-企业级Web代码安全架构 本书特色
本书详细介绍代码审计的设计思路以及所需要的工具和方法，不仅用大量案例介绍了实用方法，而且剖析了各种代码安全问题的成因与预防策略。对开发人员和安全技术人员都有参考价值。本书共分为三个部分，**部分为代码审计前的准备，详细介绍代码审计前需要了解的php核心配置文件、php环境搭建的方法、代码审计需要的工具，以及这些工具的详细使用方法。第二部分着重介绍php代码审计的中漏洞挖掘思路与防范方法，包括代码审计的思路、常见漏洞的审计方法、二次漏洞的挖掘方法、代码审计过程中的一些常用技巧。第三部分主要介绍php安全编程规范，从攻击者的角度来告诉你应该怎么写出更安全的代码，包括参数的安全过滤、php中常用的加密算法、常见功能通常会出现的安全问题、企业的应用安全体系建设等。
代码审计-企业级Web代码安全架构 内容简介
本书详细介绍代码审计的设计思路以及所需要的工具和方法，不仅用大量案例介绍了实用方法，而且剖析了各种代码安全问题的成因与预防策略。对开发人员和安全技术人员都有参考价值。本书共分为三个部分，**部分为代码审计前的准备，详细介绍代码审计前需要了解的PHP核心配置文件、PHP环境搭建的方法、代码审计需要的工具，以及这些工具的详细使用方法。第二部分着重介绍PHP代码审计的中漏洞挖掘思路与防范方法，包括代码审计的思路、常见漏洞的审计方法、二次漏洞的挖掘方法、代码审计过程中的一些常用技巧。第三部分主要介绍PHP安全编程规范，从攻击者的角度来告诉你应该怎么写出更安全的代码，包括参数的安全过滤、PHP中常用的加密算法、常见功能通常会出现的安全问题、企业的应用安全体系建设等。
代码审计-企业级Web代码安全架构 目录
contents 目 录序言前言导读**部分 代码审计前的准备第1章代码审计环境搭建21.1 wamp/wnmp环境搭建21.2 lamp/lnmp环境搭建41.3 php核心配置详解6第2章审计辅助与漏洞验证工具142.1 代码编辑器142.1.1 notepad++152.1.2 ultraedit152.1.3 zend studio192.2 代码审计工具212.2.1 seay源代码审计系统212.2.2 fortify sca242.2.3 rips252.3 漏洞验证辅助272.3.1 burp suite272.3.2 浏览器扩展322.3.3 编码转换及加解密工具362.3.4 正则调试工具382.3.5 sql执行监控工具40第二部分 漏洞发现与防范第3章通用代码审计思路463.1 敏感函数回溯参数过程463.2 通读全文代码503.3 根据功能点定向审计64第4章漏洞挖掘与防范（基础篇）684.1 sql注入漏洞684.1.1 挖掘经验694.1.2 漏洞防范744.2 xss漏洞774.2.1 挖掘经验774.2.2 漏洞防范824.3 csrf漏洞834.3.1 挖掘经验834.3.2 漏洞防范85第5章漏洞挖掘与防范（进阶篇）885.1 文件操作漏洞885.1.1 文件包含漏洞885.1.2 文件读取（下载）漏洞935.1.3 文件上传漏洞955.1.4 文件删除漏洞995.1.5 文件操作漏洞防范1005.2 代码执行漏洞1025.2.1 挖掘经验1025.2.2 漏洞防范1085.3 命令执行漏洞1085.3.1 挖掘经验1095.3.2 漏洞防范112第6章漏洞挖掘与防范（深入篇）1146.1 变量覆盖漏洞1146.1.1 挖掘经验1156.1.2 漏洞防范1216.2 逻辑处理漏洞1226.2.1 挖掘经验1226.2.2 漏洞防范1306.3 会话认证漏洞1316.3.1 挖掘经验1316.3.2 漏洞防范135第7章二次漏洞审计1367.1 什么是二次漏洞1367.2 二次漏洞审计技巧1377.3 dedecms二次注入漏洞分析137第8章代码审计小技巧1428.1 钻gpc等转义的空子1428.1.1 不受gpc保护的$_server变量1428.1.2 编码转换问题1438.2 神奇的字符串1468.2.1 字符处理函数报错信息泄露1468.2.2 字符串截断1488.3 php:// 输入输出流1508.4 php代码解析标签1538.5 fuzz漏洞发现1548.6 不严谨的正则表达式1568.7 十余种mysql报错注入1578.8 windows findfirstfile利用1618.9 php可变变量162第三部分 php安全编程规范第9章参数的安全过滤1669.1 第三方过滤函数与类1669.1.1 discuz sql安全过滤类分析1679.1.2 discuz xss标签过滤函数分析1739.2 内置过滤函数175第10章 使用安全的加密算法17710.1 对称加密17710.1.1 3des加密17810.1.2 aes加密18010.2 非对称加密18310.3 单向加密185第11章 业务功能安全设计18711.1 验证码18711.1.1 验证码绕过18711.1.2 验证码资源滥用19111.2 用户登录19211.2.1 撞库漏洞19211.2.2 api登录19311.3 用户注册19411.4 密码找回19511.5 资料查看与修改19711.6 投票/积分/抽奖19811.7 充值支付20011.8 私信及反馈20011.9 远程地址访问20211.10 文件管理20411.11 数据库管理20511.12 命令/代码执行20611.13 文件/数据库备份20711.14 api208第12章应用安全体系建设21112.1 用户密码安全策略21112.2 前后台用户分表21312.3 后台地址隐藏21512.4 密码加密存储方式21612.5 登录限制21812.6 api站库分离21812.7 慎用第三方服务21912.8 严格的权限控制22012.9 敏感操作多因素验证22112.10 应用自身的安全中心223参考资源227
代码审计-企业级Web代码安全架构 作者简介
尹毅，网名Seay，阿里巴巴安全专家，Seay源代码审计系统作者，也是知名网络安全博客www。cnseay。com的博主，至今个人博客访问量超百万。他15岁便开始接触网络安全，致力于Web安全研究，开发了大量的安全工具，乐于分享，在代码审计和渗透测试方面有丰富的经验。
