Web应用安全威胁与防治

编码原则9——使用有效的质量保证技术

编码原则8——深度预防

编码原则7——净化发送到其他系统的数据

编码原则6——坚持最小权限原则

编码原则5——默认拒绝

编码原则4——框架和设计要符合安全策略

编码原则3——注意编译器告警

编码原则2——验证输入

编码原则1——保持简单

第19章 安全编码十大原则

设计原则10——公开设计，不要假设隐藏秘密就是安全

设计原则9——保护隐私

设计原则8——默认不信任

设计原则7——总体调节

设计原则6——分隔

设计原则5——提供深度防御

设计原则4——保护最薄弱环节

设计原则3——故障安全化

设计原则2——最小特权

设计原则1——简单易懂

第18章 安全设计十大原则

第5篇 安全设计、编码十大原则

17.6 小结

17.5 重定向和转发检查列表

17.4 如何预防

17.3 如何检测

17.2 危害

17.1 三角借贷的故事——转发和重定向

第17章 未验证的重定向和转发

16.6 小结

16.5 检查列表

16.4 预防措施

16.3 有什么危害

16.2 明文传输问题

16.1 卧底的故事——对称加密和非对称加密

第16章 传输层保护不足

15.11 小结

15.10 访问控制检查列表

15.9 OWASP ESAPI与授权

15.8 SSO

15.7 后台组件之间的认证

15.6 静态资源

15.5 文件上传与下载

15.4 绕过授权验证

15.3 绕过认证

15.2 权限认证模型

15.1 掩耳盗铃——隐藏（Disable）页面按钮

第15章 没有限制的URL访问

14.8 小结

14.7 加密存储检查列表

14.6 OWASP ESAPI与加密存储

14.5 如何预防不安全的加密存储的数据

14.4 如何检测加密存储数据的安全性

14.3 加密数据保护

14.2 加密数据分类

14.1 关于加密

第14章 不安全的加密存储

13.5 小结

13.4 安全配置检查列表

13.3 安全配置错误的检测与预防

13.2 Tomcat那些事

13.1 不能说的秘密——Google hacking

第13章 安全配置错误

12.9 小结

12.8 CSRF检查列表

12.7 跨站请求伪造的预防

12.6 跨站请求伪造的检测

12.5 其他可能的攻击场景

12.4 剥茧抽丝见真相

12.3 跨站请求伪造的攻击原理

12.2 谁动了我的奶酪

12.1 CSRF简介

第12章 跨站请求伪造（CSRF）

11.7 小结

11.6 直接对象引用检查列表

11.5 如何使用OWASP ESAPI预防

11.4 不安全直接对象引用的预防

11.3 其他可能的不安全直接对象引用

11.2 不安全直接对象引用的危害

11.1 坐一望二——直接对象引用

第11章 不安全的直接对象引用

10.10 小结

10.9 检查列表

10.8 身份认证设计的基本准则

10.7 身份验证

10.6 如何预防会话攻击

10.5 如何测试

10.4 我很含蓄——非直接会话攻击

10.3 请君入瓮——会话固定

10.2 谁动了我的琴弦——会话劫持

10.1 身份认证和会话管理简介

第10章 失效的身份认证和会话管理

9.7 小结

9.6 XSS检查列表

9.5 XSS的预防

9.4 XSS检测

9.3 XSS危害

9.2 XSS分类

9.1 XSS简介

第9章 跨站脚本（XSS）

8.4 小结

8.3 注入预防检查列表

8.2 OWASP ESAPI与注入问题的预防

8.1 注入的分类

第8章 代码注入

第4篇 攻防篇

7.3 其他的漏洞学习网站

7.2 DVWA

7.1 WebGoat

第7章 漏洞学习网站

6.3 被动扫描的利器——Ratproxy

6.2 开源扫描工具——w3af

6.1 万能的扫描工具——WebInspect

第6章 扫描工具简介

5.3 WebScrab

5.2 ZAP

5.1 Fiddler

第5章 渗透测试工具

4.2 开发调试工具

4.1 浏览器简介

第4章 Web浏览器以及调试工具

3.2 其他Web服务器

3.1 Apache

第3章 Web服务器工具简介

第3篇 工具篇

2.4 ESAPI（Enterprise Security API）

2.3 OWASP Top 10

2.2 OWASP风险评估方法

2.1 OWASP简介

第2章 OWASP

1.7 HTTP的安全

1.6 HTTP session

1.5 HTTP Cookie

1.4 HTTP消息

1.3 URI

1.2 HTTPS简介

1.1 HTTP简介

第1章 Web应用技术

第2篇 基础篇

故事四：IT青年VS禅师

故事三：明文密码

故事二：微博上的蠕虫

故事一：家有一IT，如有一宝

第1篇 引子

序3

序2

序1

版权信息

封面

封面

版权信息

序1

序2

序3

第1篇 引子

故事一：家有一IT，如有一宝

故事二：微博上的蠕虫

故事三：明文密码

故事四：IT青年VS禅师

第2篇 基础篇

第1章 Web应用技术

1.1 HTTP简介

1.2 HTTPS简介

1.3 URI

1.4 HTTP消息

1.5 HTTP Cookie

1.6 HTTP session

1.7 HTTP的安全

第2章 OWASP

2.1 OWASP简介

2.2 OWASP风险评估方法

2.3 OWASP Top 10

2.4 ESAPI（Enterprise Security API）

第3篇 工具篇

第3章 Web服务器工具简介

3.1 Apache

3.2 其他Web服务器

第4章 Web浏览器以及调试工具

4.1 浏览器简介

4.2 开发调试工具

第5章 渗透测试工具

5.1 Fiddler

5.2 ZAP

5.3 WebScrab

第6章 扫描工具简介

6.1 万能的扫描工具——WebInspect

6.2 开源扫描工具——w3af

6.3 被动扫描的利器——Ratproxy

第7章 漏洞学习网站

7.1 WebGoat

7.2 DVWA

7.3 其他的漏洞学习网站

第4篇 攻防篇

第8章 代码注入

8.1 注入的分类

8.2 OWASP ESAPI与注入问题的预防

8.3 注入预防检查列表

8.4 小结

第9章 跨站脚本（XSS）

9.1 XSS简介

9.2 XSS分类

9.3 XSS危害

9.4 XSS检测

9.5 XSS的预防

9.6 XSS检查列表

9.7 小结

第10章 失效的身份认证和会话管理

10.1 身份认证和会话管理简介

10.2 谁动了我的琴弦——会话劫持

10.3 请君入瓮——会话固定

10.4 我很含蓄——非直接会话攻击

10.5 如何测试

10.6 如何预防会话攻击

10.7 身份验证

10.8 身份认证设计的基本准则

10.9 检查列表

10.10 小结

第11章 不安全的直接对象引用

11.1 坐一望二——直接对象引用

11.2 不安全直接对象引用的危害

11.3 其他可能的不安全直接对象引用

11.4 不安全直接对象引用的预防

11.5 如何使用OWASP ESAPI预防

11.6 直接对象引用检查列表

11.7 小结

第12章 跨站请求伪造（CSRF）

12.1 CSRF简介

12.2 谁动了我的奶酪

12.3 跨站请求伪造的攻击原理

12.4 剥茧抽丝见真相

12.5 其他可能的攻击场景

12.6 跨站请求伪造的检测

12.7 跨站请求伪造的预防

12.8 CSRF检查列表

12.9 小结

第13章 安全配置错误

13.1 不能说的秘密——Google hacking

13.2 Tomcat那些事

13.3 安全配置错误的检测与预防

13.4 安全配置检查列表

13.5 小结

第14章 不安全的加密存储

14.1 关于加密

14.2 加密数据分类

14.3 加密数据保护

14.4 如何检测加密存储数据的安全性

14.5 如何预防不安全的加密存储的数据

14.6 OWASP ESAPI与加密存储

14.7 加密存储检查列表

14.8 小结

第15章 没有限制的URL访问

15.1 掩耳盗铃——隐藏（Disable）页面按钮

15.2 权限认证模型

15.3 绕过认证

15.4 绕过授权验证

15.5 文件上传与下载

15.6 静态资源

15.7 后台组件之间的认证

15.8 SSO

15.9 OWASP ESAPI与授权

15.10 访问控制检查列表

15.11 小结

第16章 传输层保护不足

16.1 卧底的故事——对称加密和非对称加密

16.2 明文传输问题

16.3 有什么危害

16.4 预防措施

16.5 检查列表

16.6 小结

第17章 未验证的重定向和转发

17.1 三角借贷的故事——转发和重定向

17.2 危害

17.3 如何检测

17.4 如何预防

17.5 重定向和转发检查列表

17.6 小结

第5篇 安全设计、编码十大原则

第18章 安全设计十大原则

设计原则1——简单易懂

设计原则2——最小特权

设计原则3——故障安全化

设计原则4——保护最薄弱环节

设计原则5——提供深度防御

设计原则6——分隔

设计原则7——总体调节

设计原则8——默认不信任

设计原则9——保护隐私

设计原则10——公开设计，不要假设隐藏秘密就是安全

第19章 安全编码十大原则

编码原则1——保持简单

编码原则2——验证输入

编码原则3——注意编译器告警

编码原则4——框架和设计要符合安全策略

编码原则5——默认拒绝

编码原则6——坚持最小权限原则

编码原则7——净化发送到其他系统的数据

编码原则8——深度预防

编码原则9——使用有效的质量保证技术