目录 3
第一部分 黑客技术与防御 3
第1章 Web攻击和渗透方法论 3
1.1 威胁和安全漏洞 4
1.2 勾画平台轮廓 5
1.3 勾画应用程序轮廓 10
1.4 小结 22
第2章 关键的黑客攻击与防御 23
2.1 一般的输入验证 25
2.1.1 常用途径 26
2.1.2 源代码泄露 28
2.2 字符编码 29
2.2.1 URL编码（转义字符） 29
2.2.2 Unicode 30
2.3 其他的请求方法 32
2.4 SQL注入 33
2.4.1 Microsoft SQL Server 40
2.4.2 Oracle 43
2.4.3 MySQL 45
2.4.4 PostgreSQL 47
2.4.5 博采众家之长 48
2.5 跨站脚本 49
2.6 令牌分析 51
2.6.1 查找令牌 51
2.6.2 编码与加密 52
2.6.3 模式分析 56
2.7 会话攻击 57
2.8 基于XML的服务 64
2.9 应用程序的基本防范 66
2.10 输入验证 66
2.11 小结 73
第3章 平台评估方法 77
第二部分 主机评估及安全性强化 77
3.1 漏洞扫描器 78
3.1.1 Whisker及LibWhisker 78
3.1.2 Nikto 80
3.1.3 Nessus 83
3.2 评估工具 87
3.2.1 Achilles 88
3.2.2 WebProxy 2.1 89
3.2.3 Curl 93
3.3 重播请求 96
3.4 小结 100
第4章 评估与加固核对表 101
4.1 Web服务器概述 102
4.2 Apache 103
4.2.1 编译时选项 104
4.2.2 配置文件：httpd.conf 109
4.3 IIS 112
4.3.1 Adsutil.vbs及Metabase 113
4.3.2 账户 114
4.3.3 文件安全性 115
4.3.4 日志记录 118
4.3.5 IIS锁定工具（iislockd.exe） 119
4.4 小结 120
第三部分 专题 123
第5章 Web服务器安全与分析 123
5.1 WEB服务器日志分析 124
5.2 代理服务器 131
5.3 负载均衡器 133
5.4 攻击范围 135
5.4.1 对文件系统进行的读取或写入访问 135
5.4.2 执行任意命令 135
5.5 小结 141
第6章 安全编码 143
6.1 安全程序设计 144
6.2 和语言相关的问题 148
6.2.1 Java 148
6.2.2 ASP 150
6.2.3 Perl 151
6.2.4 PHP 152
6.3 小结 153
附录 157
附录A 7位ASCII引用 157
附录B WebGoat 165
B.1 安装WebGoat 166
B.2 使用WebGoat 167
参考中心 173
应用程序评估方法核对表 173
HTTP协议说明 179
输入验证测试 182
常见Web端口和应用程序 185
命令技术一览 187
应用程序默认账户及配置文件 191
Google关键词搜索 192
IIS Metabase设置及建议 193
在线参考 198
有用工具 199