安全測(cè)試指南（第4版）

定　價(jià)：￥89.00

作　者：	（美國(guó)）OWASP基金會(huì)
出版社：	電子工業(yè)出版社
叢編項(xiàng)：
標(biāo)　簽：	安全科學(xué) 工業(yè)技術(shù)

購(gòu)買(mǎi)這本書(shū)可以去

ISBN：	9787121292088	出版時(shí)間：	2016-07-01	包裝：	平塑勒
開(kāi)本：		頁(yè)數(shù)：	484	字?jǐn)?shù)：

內(nèi)容簡(jiǎn)介

　　軟件安全問(wèn)題也許是這個(gè)時(shí)代面臨的最為重要的技術(shù)挑戰(zhàn)。Web應(yīng)用程序讓業(yè)務(wù)、社交等網(wǎng)絡(luò)活動(dòng)飛速發(fā)展，這同時(shí)也加劇了它們對(duì)軟件安全的要求。我們急需建立一個(gè)強(qiáng)大的方法來(lái)編寫(xiě)和保護(hù)我們的互聯(lián)網(wǎng)、Web應(yīng)用程序和數(shù)據(jù)，并基于工程和科學(xué)的原則，用一致的、可重復(fù)的和定義的方法來(lái)測(cè)試軟件安全問(wèn)題。本書(shū)正是實(shí)現(xiàn)這個(gè)目標(biāo)的重要一步，作為一本安全測(cè)試指南，詳細(xì)講解了Web應(yīng)用測(cè)試的“4W1H”，即“什么是測(cè)試”、“為什么要測(cè)試”、“什么時(shí)間測(cè)試”、“測(cè)試哪里”以及“如何測(cè)試”。本書(shū)適合高等院校計(jì)算機(jī)相關(guān)專業(yè)師生閱讀，也適合廣大軟件開(kāi)發(fā)人員、測(cè)試人員以及所有對(duì)軟件安全問(wèn)題感興趣的讀者閱讀。

作者簡(jiǎn)介

　　OWASP是一個(gè)開(kāi)源的、非盈利的全球性安全組織，致力于應(yīng)用軟件的安全研究，在業(yè)界具有一流的影響力和權(quán)威性。作為OWASP面向中國(guó)的區(qū)域分支，OWASP中國(guó)自2006年正式啟動(dòng)，目前已擁有來(lái)自互聯(lián)網(wǎng)安全專業(yè)領(lǐng)域和政府、電信、金融、教育等相關(guān)領(lǐng)域的會(huì)員近5000個(gè)，形成了強(qiáng)大的專業(yè)技術(shù)實(shí)力和行業(yè)資源聚集能力，有力推動(dòng)了共同推動(dòng)了安全標(biāo)準(zhǔn)、安全測(cè)試工具、安全指導(dǎo)手冊(cè)等應(yīng)用安全技術(shù)在中國(guó)的發(fā)展，成為了積極推動(dòng)中國(guó)互聯(lián)網(wǎng)安全技術(shù)創(chuàng)新、人才培養(yǎng)和行業(yè)發(fā)展的中堅(jiān)力量。作為OWASP中國(guó)的運(yùn)營(yíng)中心，互聯(lián)網(wǎng)安全研究中心（Security Zone，簡(jiǎn)稱SecZone）是國(guó)內(nèi)首個(gè)獨(dú)立、開(kāi)源的互聯(lián)網(wǎng)安全研究機(jī)構(gòu)。中心始終秉持引入、吸收、創(chuàng)新的發(fā)展宗旨，專注于互聯(lián)網(wǎng)安全前沿技術(shù)和OWASP項(xiàng)目的深度研究，常年組織開(kāi)展各類開(kāi)源培訓(xùn)及沙龍活動(dòng)，致力于通過(guò)對(duì)國(guó)內(nèi)外技術(shù)、資源的整合、應(yīng)用和創(chuàng)新，更好地服務(wù)業(yè)界同仁、服務(wù)行業(yè)發(fā)展，更有力地推動(dòng)國(guó)內(nèi)互聯(lián)網(wǎng)安全技術(shù)的進(jìn)步與升級(jí)。

圖書(shū)目錄

第一部分項(xiàng)目概述及測(cè)試框架第1章 OWASP測(cè)試項(xiàng)目 21.1 OWASP測(cè)試項(xiàng)目概述 21.2 測(cè)試原則 51.3 測(cè)試技術(shù)說(shuō)明 91.3.1 測(cè)試技術(shù)說(shuō)明概述 91.3.2 人工檢查及復(fù)查 91.3.3 軟件威脅建模 101.3.4 代碼審查 111.3.5 滲透測(cè)試 121.3.6 需要平衡的測(cè)試方法 131.3.7 關(guān)于Web應(yīng)用掃描工具的注意事項(xiàng) 141.3.8 關(guān)于靜態(tài)源代碼復(fù)查工具的注意事項(xiàng) 151.3.9 安全測(cè)試需求推導(dǎo) 151.3.10 功能和非功能測(cè)試需求 181.3.11 安全測(cè)試集成于開(kāi)發(fā)與測(cè)試工作流程 211.3.12 開(kāi)發(fā)人員的安全測(cè)試 221.3.13 集成系統(tǒng)測(cè)試和操作測(cè)試 241.3.14 安全測(cè)試數(shù)據(jù)分析和報(bào)告 251.4 OWASP測(cè)試項(xiàng)目參考文獻(xiàn) 28第2章 OWASP測(cè)試架構(gòu) 302.1 OWASP測(cè)試架構(gòu)概述 302.1.1 階段1：開(kāi)發(fā)前 312.1.2 階段2：設(shè)計(jì)和定義階段 312.1.3 階段3：開(kāi)發(fā)階段 332.1.4 階段4：部署中 332.1.5 階段5：維護(hù)和運(yùn)行 342.2 典型SDLC測(cè)試流程 34第二部分測(cè)試方法第3章 Web應(yīng)用安全測(cè)試 363.1 Web應(yīng)用安全測(cè)試概述 363.2 什么是OWASP測(cè)試方法？ 37第4章信息收集測(cè)試 394.1 搜索引擎信息搜集（OTG-INFO-001） 394.1.1 信息搜集概述 394.1.2 信息搜集測(cè)試目標(biāo) 404.1.3 信息搜集測(cè)試方法 404.2 Web服務(wù)器指紋識(shí)別（OTG-INFO-002） 424.2.1 Web服務(wù)器指紋識(shí)別概述 424.2.2 Web服務(wù)器指紋識(shí)別測(cè)試目標(biāo) 424.2.3 Web服務(wù)器指紋識(shí)別測(cè)試方法 434.3 審查Web服務(wù)器元文件信息泄露（OTG-INFO-003） 484.3.1 審查Web服務(wù)器元文件信息泄露概述 484.3.2 審查Web服務(wù)器元文件信息泄露測(cè)試目標(biāo) 484.3.3 審查Web服務(wù)器元文件信息泄露測(cè)試方法 494.4 枚舉Web服務(wù)器的應(yīng)用（OTG-INFO-004） 524.4.1 枚舉Web服務(wù)器的應(yīng)用概述 524.4.2 枚舉Web服務(wù)器的應(yīng)用測(cè)試目標(biāo) 534.4.3 枚舉Web服務(wù)器的應(yīng)用測(cè)試方法 534.5 注釋和元數(shù)據(jù)信息泄露（OTG-INFO-005） 584.5.1 注釋和元數(shù)據(jù)信息泄露概述 584.5.2 注釋和元數(shù)據(jù)信息泄露測(cè)試目標(biāo) 584.5.3 注釋和元數(shù)據(jù)信息泄露測(cè)試方法 584.6 識(shí)別應(yīng)用的入口（OTG-INFO-006） 604.6.1 識(shí)別應(yīng)用的入口概述 604.6.2 識(shí)別應(yīng)用的入口測(cè)試目標(biāo) 604.6.3 識(shí)別應(yīng)用的入口測(cè)試方法 604.7 映射應(yīng)用程序的執(zhí)行路徑（OTG-INFO-007） 624.7.1 映射應(yīng)用程序的執(zhí)行路徑概述 624.7.2 映射應(yīng)用程序的執(zhí)行路徑測(cè)試目標(biāo) 634.7.3 映射應(yīng)用程序的執(zhí)行路徑測(cè)試方法 634.8 識(shí)別Web應(yīng)用框架（OTG-INFO-008） 644.8.1 識(shí)別Web應(yīng)用框架概述 644.8.2 識(shí)別Web應(yīng)用框架測(cè)試目標(biāo) 654.8.3 識(shí)別Web應(yīng)用框架測(cè)試方法 654.9 識(shí)別Web應(yīng)用程序（OTG-INFO-009） 694.9.1 識(shí)別Web應(yīng)用程序概述 694.9.2 識(shí)別Web應(yīng)用程序測(cè)試目標(biāo) 694.9.3 識(shí)別Web應(yīng)用程序測(cè)試方法 694.10 映射應(yīng)用架構(gòu)（OTG-INFO-010） 734.10.1 映射應(yīng)用架構(gòu)概述 734.10.2 映射應(yīng)用架構(gòu)測(cè)試方法 734.10.3 防護(hù)Web服務(wù)器示例 744.11 信息收集測(cè)試工具 754.12 信息收集測(cè)試參考文獻(xiàn) 814.13 信息收集測(cè)試加固措施 83第5章配置管理測(cè)試 875.1 網(wǎng)絡(luò)和基礎(chǔ)設(shè)施配置測(cè)試（OTG-CONFIG-001） 875.1.1 網(wǎng)絡(luò)和基礎(chǔ)設(shè)施配置測(cè)試概述 875.1.2 網(wǎng)絡(luò)和基礎(chǔ)設(shè)施配置測(cè)試方法 885.2 應(yīng)用平臺(tái)配置測(cè)試（OTG-CONFIG-002） 895.2.1 應(yīng)用平臺(tái)配置測(cè)試概述 895.2.2 應(yīng)用平臺(tái)配置測(cè)試方法 895.3 敏感信息文件擴(kuò)展處理測(cè)試（OTG-CONFIG-003） 945.3.1 敏感信息文件擴(kuò)展處理測(cè)試概述 945.3.2 敏感信息文件擴(kuò)展處理測(cè)試方法 955.4 對(duì)舊文件、備份和未被引用文件的敏感信息的審查（OTG-CONFIG-004） 965.4.1 對(duì)舊文件、備份和未被引用文件的敏感信息的審查概述 965.4.2 對(duì)舊文件、備份和未被引用文件的敏感信息產(chǎn)生的威脅 975.4.3 對(duì)舊文件、備份和未被引用文件的敏感信息的測(cè)試方法 985.5 枚舉基礎(chǔ)設(shè)施和應(yīng)用程序管理界面（OTG-CONFIG-005） 1015.5.1 枚舉基礎(chǔ)設(shè)施和應(yīng)用程序管理界面概述 1015.5.2 枚舉基礎(chǔ)設(shè)施和應(yīng)用程序管理界面測(cè)試方法 1025.6 HTTP方法測(cè)試（OTG-CONFIG-006） 1035.6.1 HTTP方法測(cè)試概述 1035.6.2 任意的HTTP方法 1045.6.3 HTTP方法測(cè)試方法 1045.7 HTTP強(qiáng)制安全傳輸測(cè)試（OTG-CONFIG-007） 1085.7.1 HTTP強(qiáng)制安全傳輸測(cè)試概述 1085.7.2 HTTP強(qiáng)制安全傳輸測(cè)試方法 1085.8 RIA跨域策略測(cè)試（OTG-CONFIG-008） 1095.8.1 RIA跨域策略測(cè)試概述 1095.8.2 跨域策略測(cè)試方法 1105.9 配置部署管理測(cè)試工具 1115.10 配置部署管理測(cè)試參考文獻(xiàn) 1135.11 配置部署管理測(cè)試加固措施 116第6章身份管理測(cè)試 1176.1 角色定義測(cè)試（OTG-IDENT-001） 1176.1.1 角色定義測(cè)試概述 1176.1.2 角色定義測(cè)試目標(biāo) 1176.1.3 角色定義測(cè)試方法 1186.2 用戶注冊(cè)流程測(cè)試（OTG-IDENT-002） 1186.2.1 用戶注冊(cè)流程測(cè)試概述 1186.2.2 用戶注冊(cè)流程測(cè)試目標(biāo) 1186.2.3 用戶注冊(cè)流程測(cè)試方法 1196.3 賬戶配置過(guò)程測(cè)試（OTG-IDENT-003） 1206.3.1 賬戶配置過(guò)程測(cè)試概述 1206.3.2 賬戶配置過(guò)程測(cè)試測(cè)試目標(biāo) 1206.3.3 賬戶配置過(guò)程測(cè)試測(cè)試方法 1206.4 賬戶枚舉和可猜測(cè)的用戶賬戶測(cè)試（OTG-IDENT-004） 1216.4.1 賬戶枚舉和可猜測(cè)的用戶賬戶測(cè)試概述 1216.4.2 賬戶枚舉和可猜測(cè)的用戶賬戶測(cè)試方法 1226.5 弱的或未實(shí)施的用戶策略測(cè)試（OTG-IDENT-005） 1266.5.1 弱的或未實(shí)施的用戶策略測(cè)試概述 1266.5.2 弱的或未實(shí)施的用戶策略測(cè)試目標(biāo) 1266.5.3 弱的或未實(shí)施的用戶策略測(cè)試方法 1266.6 身份管理測(cè)試工具 1266.7 身份管理測(cè)試參考文獻(xiàn) 1276.8 身份管理測(cè)試加固措施 128第7章認(rèn)證測(cè)試 1297.1 憑證在加密通道中的傳輸測(cè)試（OTG-AUTHN-001） 1297.1.1 憑證在加密通道中的傳輸測(cè)試概述 1297.1.2 憑證在加密通道中的傳輸測(cè)試方法 1307.2 默認(rèn)用戶憑證測(cè)試（OTG-AUTHN-002） 1337.2.1 默認(rèn)用戶憑證測(cè)試概述 1337.2.2 默認(rèn)用戶憑證測(cè)試方法 1337.3 弱鎖定機(jī)制測(cè)試（OTG-AUTHN-003） 1367.3.1 弱鎖定機(jī)制測(cè)試概述 1367.3.2 弱鎖定機(jī)制測(cè)試目標(biāo) 1367.3.3 弱鎖定機(jī)制測(cè)試方法 1367.4 認(rèn)證模式繞過(guò)測(cè)試（OTG-AUTHN-004） 1387.4.1 認(rèn)證模式繞過(guò)測(cè)試概述 1387.4.2 認(rèn)證模式繞過(guò)測(cè)試方法 1387.5 記憶密碼功能存在威脅測(cè)試（OTG-AUTHN-005） 1427.5.1 記憶密碼功能存在威脅測(cè)試概述 1427.5.2 記憶密碼功能存在威脅測(cè)試方法 1437.6 瀏覽器緩存威脅測(cè)試（OTG-AUTHN-006） 1437.6.1 瀏覽器緩存威脅測(cè)試概述 1437.6.2 瀏覽器緩存威脅測(cè)試方法 1447.7 弱密碼策略測(cè)試（OTG-AUTHN-007） 1457.7.1 弱密碼策略測(cè)試概述 1457.7.2 弱密碼策略測(cè)試目標(biāo) 1457.7.3 弱密碼策略測(cè)試方法 1467.8 弱安全問(wèn)答測(cè)試（OTG-AUTHN-008） 1467.8.1 弱安全問(wèn)答測(cè)試概述 1467.8.2 弱安全問(wèn)答測(cè)試方法 1477.9 弱密碼的更改或重設(shè)功能測(cè)試（OTG-AUTHN-009） 1487.9.1 弱密碼的更改或重設(shè)功能測(cè)試概述 1487.9.2 弱密碼的更改或重設(shè)功能測(cè)試目標(biāo) 1487.9.3 弱密碼的更改或重設(shè)功能測(cè)試方法 1487.10 在輔助信道中較弱認(rèn)證測(cè)試（OTG-AUTHN-010） 1507.10.1 在輔助信道中較弱認(rèn)證測(cè)試概述 1507.10.2 在輔助信道中較弱認(rèn)證測(cè)試示例 1517.10.3 在輔助信道中較弱認(rèn)證測(cè)試方法 1517.10.4 關(guān)聯(lián)的測(cè)試用例 1527.11 認(rèn)證測(cè)試工具 1527.12 認(rèn)證測(cè)試參考文獻(xiàn) 1537.13 認(rèn)證測(cè)試加固措施 155第8章授權(quán)測(cè)試 1568.1 目錄遍歷/文件包含測(cè)試（OTG-AUTHZ-001） 1568.1.1 目錄遍歷/文件包含測(cè)試概述 1568.1.2 目錄遍歷/文件包含測(cè)試方法 1578.2 繞過(guò)授權(quán)模式測(cè)試（OTG-AUTHZ-002） 1608.2.1 繞過(guò)授權(quán)模式測(cè)試概述 1608.2.2 繞過(guò)授權(quán)模式測(cè)試方法 1618.3 權(quán)限提升測(cè)試（OTG-AUTHZ-003） 1618.3.1 權(quán)限提升測(cè)試概述 1618.3.2 權(quán)限提升測(cè)試方法 1628.4 不安全對(duì)象引用測(cè)試（OTG-AUTHZ-004） 1638.4.1 不安全對(duì)象引用測(cè)試概述 1638.4.2 不安全對(duì)象引用測(cè)試方法 1638.5 授權(quán)測(cè)試工具 1658.6 授權(quán)測(cè)試參考文獻(xiàn) 1658.7 授權(quán)測(cè)試加固措施 166第9章會(huì)話管理測(cè)試 1679.1 會(huì)話管理架構(gòu)繞過(guò)測(cè)試（OTG-SESS-001） 1679.1.1 會(huì)話管理架構(gòu)繞過(guò)測(cè)試概述 1679.1.2 會(huì)話管理架構(gòu)繞過(guò)測(cè)試方法 1689.2 Cookie屬性測(cè)試（OTG-SESS-002） 1739.2.1 Cookie屬性測(cè)試概述 1739.2.2 Cookie屬性測(cè)試方法 1759.3 會(huì)話固化測(cè)試（OTG-SESS-003） 1769.3.1 會(huì)話固化測(cè)試概述 1769.3.2 會(huì)話固化測(cè)試方法 1769.4 會(huì)話變量泄露測(cè)試（OTG-SESS-004） 1789.4.1 會(huì)話變量泄露測(cè)試概述 1789.4.2 會(huì)話變量泄露測(cè)試方法 1789.5 跨站偽造請(qǐng)求（CSRF）測(cè)試（OTG-SESS-005） 1819.5.1 跨站偽造請(qǐng)求（CSRF）測(cè)試概述 1819.5.2 跨站偽造請(qǐng)求（CSRF）測(cè)試方法 1849.6 會(huì)話管理測(cè)試工具 1859.7 會(huì)話管理測(cè)試參考文獻(xiàn) 1869.8 會(huì)話管理測(cè)試加固措施 188第10章輸入驗(yàn)證測(cè)試 19010.1 反射型跨站腳本測(cè)試（OTG-INPVAL-001） 19010.1.1 反射型跨站腳本測(cè)試概述 19010.1.2 反射型跨站腳本測(cè)試方法 19110.2 存儲(chǔ)型跨站腳本測(cè)試（OTG-INPVAL-002） 19510.2.1 存儲(chǔ)型跨站腳本測(cè)試概述 195