Безопасность веб-приложений. Разведка, защита, нападение

Description

Среди огромного количества информации по сетевой и ИТ-безопасности практически не найти книг по безопасности веб-приложений. Познакомьтесь на практике с разведкой, защитой и нападением! Вы изучите методы эффективного исследования и анализа веб-приложений, даже тех, к которым нет прямого доступа, узнаете самые современные хакерские приемы и научитесь защищать собственные разработки. Предисловие Исходные требования и цели обучения Требования к уровню знаний Минимальный набор навыков Кому больше всего пригодится эта книга? Инженеры-программисты и разработчики веб-приложений Общие цели обучения Инженеры по безопасности, пентестеры и охотники за багами Структура книги Разведка Нападение Защита Язык и терминология Итоги Условные обозначения От издательства Глава 1. История защиты программного обеспечения Истоки хакерства «Энигма», 1930-е Автоматизированный взлом шифра «Энигмы», 1940-е Появление «бомбы» Фрикинг, 1950-е Метод борьбы с фрикингом, 1960-е Начало компьютерного взлома, 1980-е Расцвет Всемирной паутины, 2000-е Современные хакеры, после 2015-го Итоги Часть I Разведка Глава 2. Введение в разведку веб-приложений Сбор информации Карта веб-приложения Итоги Глава 3. Структура современных веб-приложений Сравнение современных и более ранних версий приложений REST API Формат JSON JavaScript Переменные и их область видимости Функции Контекст Прототипное наследование Асинхронное выполнение кода Программный интерфейс DOM браузера Фреймворки для SPA Системы аутентификации и авторизации Аутентификация Авторизация Веб-серверы Базы данных на стороне сервера Хранение данных на стороне клиента Итоги Глава 4. Поиск субдоменов Множество приложений в рамках одного домена Встроенные в браузер инструменты анализа Общедоступная информация Кэши поисковых систем Поиск в архиве Социальные профили Атаки на передачу зоны Брутфорс субдоменов Перебор по словарю Итоги Глава 5. Анализ API Обнаружение конечной точки Механизмы аутентификации Разновидности конечных точек Основные разновидности Специализированные разновидности Итоги Глава 6. Обнаружение сторонних зависимостей Клиентские фреймворки Фреймворки для одностраничных приложений Библиотеки JavaScript Библиотеки CSS Фреймворки на стороне сервера Заголовки Стандартные сообщения об ошибке и страницы 404 Базы данных Итоги Глава 7. Поиск слабых мест в архитектуре приложения Признаки безопасной и небезопасной архитектуры Уровни безопасности Заимствование и перекрой Итоги Глава 8. Итоги части I Часть II. Нападение Глава 9. Введение во взлом веб-приложений Мышление хакера Применение данных, полученных в процессе разведки Глава 10. Межсайтовый скриптинг (XSS) Обнаружение XSS-уязвимости Хранимый XSS Отраженный XSS XSS-атака на базе DOM XSS с мутациями Итоги Глава 11. Подделка межсайтовых запросов (CSRF) Подделка параметров запроса Изменение содержимого запроса GET CSRF-атака на конечные точки POST Итоги Глава 12. Атака на внешние сущности XML (XXE) Атака напрямую Непрямая XXE-атака Итоги Глава 13. Внедрение кода Внедрение SQL-кода Внедрение кода Внедрение команд Итоги Глава 14. Отказ в обслуживании (DoS) ReDoS-атака Логические DoS-уязвимости Распределенная DoS-атака Итоги Глава 15. Эксплуатация сторонних зависимостей Методы интеграции Ветви и вилки Приложения с собственным сервером Интеграция на уровне кода Диспетчеры пакетов JavaScript Java Другие языки База данных общеизвестных уязвимостей Итоги Глава 16. Итоги части II Часть III. Защита Глава 17. Защита современных веб-приложений Архитектура защищенного ПО Глубокий анализ кода Поиск уязвимости Анализ уязвимости Управление уязвимостями Регрессивное тестирование Меры по снижению риска Прикладные техники разведки и нападения Глава 18. Безопасная архитектура приложений Анализ требований к ПО Аутентификация и авторизация Протоколы SSL и TLS Защита учетных данных Хеширование учетных данных Двухфакторная аутентификация Личные данные и финансовая информация Поиск Итоги Глава 19. Проверка безопасности кода Начало проверки Основные типы уязвимостей и пользовательские логические ошибки С чего начать проверку безопасности Антипаттерны безопасного программирования Черные списки Шаблонный код Доверие по умолчанию Разделение клиента и сервера Итоги Глава 20. Обнаружение уязвимостей Автоматизированная проверка Статический анализ Динамический анализ Регрессионное тестирование Программы ответственного раскрытия информации Программы Bug Bounty Сторонние пентестеры Итоги Глава 21. Управление уязвимостями Воспроизведение уязвимостей Классификация уязвимостей Общая система оценки уязвимостей CVSS: Базовая метрика CVSS: Временная метрика CVSS: Контекстная метрика Усовершенствованная классификация уязвимостей Что делать потом Итоги Глава 22. Противодействие XSS-атакам Приемы написания кода для противодействия XSS Очистка пользовательского ввода Приемник DOMParser Приемник SVG Приемник Blob Санация гиперссылок Символьные сущности в HTML CSS Политика защиты контента для предотвращения XSS Директива script-src Ключевые слова unsafe-eval и unsafe-inline Внедрение CSP Итоги Глава 23. Защита от CSRF Проверка заголовков CSRF-токен CSRF-токены без сохранения состояния Противодействие CRSF на уровне кода Запросы GET без сохранения состояния Снижение риска CSRF на уровне приложения Итоги Глава 24. Защита от XXE-атак Оценка других форматов данных Дополнительные риски, связанные с XXE Итоги Глава 25. Противодействие внедрению Противодействие внедрению SQL-кода Распознавание внедрения SQL-кода Подготовленные операторы Более специфические методы защиты Защита от других видов внедрения Потенциальные цели внедрения Принцип минимальных привилегий Белый список команд Итоги Глава 26. Противодействие DoS-атакам Противодействие атакам ReDoS Защите от логических DoS-атак Защита от DDoS Смягчение DDoS-атак Итоги Глава 27. Защита сторонних зависимостей Оценка дерева зависимостей Моделирование дерева зависимости Деревья зависимостей на практике Автоматизированная оценка Техники безопасной интеграции Разделение интересов Безопасное управление пакетами Итоги Глава 28. Итоги части III История безопасности программного обеспечения Разведка Нападение Защита Глава 29. Заключение Об авторе Об обложке