　　《Web應用安全指南》係日本Web安全德丸浩所創，是作者從業多年的經驗總結。作者首先簡要介紹瞭Web應用的安全隱患以及産生原因，然後詳細介紹瞭Web安全的基礎，如HTTP、會話管理、同源策略等。此外還重點介紹瞭Web應用的各種安全隱患，對其産生原理及對策進行瞭詳盡的講解。最後對如何提高Web網站的安全性和開發安全的Web應用所需要的管理進行瞭深入的探討。《Web應用安全指南》可操作性強，讀者可以通過下載已搭建的虛擬機環境親自體驗書中的各種安全隱患。
　　《Web應用安全指南》適閤Web相關的開發人員特彆是安全及測試人員閱讀。

作者簡介

　　德丸浩<作者>，2008年創立HASH谘詢公司，任董事長。主要從事網絡安全性的診斷與谘詢工作，並在工作之餘通過博客普及網絡安全知識。兼任KYOCERA Communication Systems股份有限公司技術顧問、獨立行政法人信息處理推進機構（IPA）兼職研究員。Twitter ID為@ockeghem。

　　趙文<譯者>，程序員，Ruby 語言愛好者。圖靈電子書《關於 mruby 的一切》譯者。

　　劉斌<譯者>，程序員，關注於後颱開發，Java/Ruby愛好者。

精彩書摘

　　第1章
　　什麼是 Web應用的安全隱患
　　本章將對“安全隱患”這一貫穿全書的主題加以概述，包括什麼是安全隱患，安全隱患會帶來哪些問題，安全隱患是如何産生的，等等。本章最後會給齣全書的結構和學習方法。
　　1.1　安全隱患即“能用於作惡的Bug”
　　程序Bug對於開發者來說如同傢常便飯。應用程序有瞭Bug，就會齣現各種不正常的現象。例如，顯示齣錯誤的結果、需要進行的處理遲遲不能結束、網頁布局錯亂、響應速度極為緩慢等。而這其中，有一種Bug能被惡意利用。此類Bug被稱為安全隱患（Vulnerability），有時也被稱為安全性Bug。
　　以下是一些惡意利用的常見案例。
　　未經許可瀏覽用戶個人信息等隱私信息
　　篡改網站的內容
　　使網頁瀏覽者的計算機感染病毒
　　僞裝成他人來窺探用戶的隱私信息、發布文章、在綫購物、肆意轉賬等
　　使目標網站不能被訪問
　　在網絡遊戲中讓自己達到無敵狀態，或非法獲得遊戲中的裝備道具
　　在確認自己的個人信息時，能看到彆人的個人信息A
　　如同程序員對一般的Bug（無奈地）習以為常一樣，Web應用程序開發者對安全隱患也同樣已經司空見慣。倘若開發Web應用程序時對安全隱患一無所知，就會開發齣能被用來進行上述惡舉的網站。針對這一問題，本書將從原理到具體對策，來詳細講述如何在開發Web應用時杜絕安全隱患。
　　A 　能看到其他用戶個人信息的Bug雖不是故意作惡，但由此而偶然造成的不良後果也被視為安全隱患。
　　1.2　為什麼存在安全隱患會有問題
　　為什麼存在安全隱患會有問題，這是個越思考就越深入的課題。接下來，就讓我們從幾個方麵來探討一下必須杜絕安全隱患的原因。
　　◆經濟損失
　　應杜絕安全隱患的原因之一為，假如網站的安全隱患被惡意利用，網站的經營者將會濛受經濟損失。典型的損失為以下幾項。
　　賠償用戶的經濟損失
　　給用戶寄送代金券作為補償時的花銷
　　網站暫停運營造成的機會損失
　　信譽度下降造成的營業額減少
　　此類經濟損失的總額有時會高達數十億日元。
　　然而，或許有人會有這樣的疑問。如果網站的營銷規模並不大，上述列舉的各項經濟損失就會變得相對較小。所以可能有些網站運營方就會采取這種思路：事前不做相應對策，萬一齣事瞭就賠償用戶的損失。A
　　但是，實際的損失並不僅限於經濟損失。
　　◆法律要求B
　　《個人信息保護法》是規定網站實施安全性措施的法律。該法第20條規定，擁有超過5000名用戶的網站運營方，作為個人信息經營者，有義務實施網站的安全管理措施。
　　（安全管理措施）
　　第二十條　個人信息經營者，為瞭安全管理其用戶的個人信息，必須采取必要且恰當的措施，防止用戶的個人信息被泄漏、刪除或損壞。
　　安全管理措施的具體內容，由各省廳分彆製定規章。其中，“經濟産業領域關於個人信息保護法的指導方針”中，“技術性安全管理措施”中的“‘個人數據訪問控製’的實踐方法示例”一節中有如下記載。
　　A 　這種策略被稱為“風險自留”。
　　B 　本節闡述的是日本的相關法律，供中國讀者參考。遺憾的是，截至譯稿時（2013年9月），中國在網絡安全隱患方麵還沒有推齣相應的法律法規。 ——譯者注
　　檢驗處理個人信息的係統中引入的訪問控製功能的有效性。
　　（例如，檢驗網絡應用是否存在安全隱患。）
　　也就是說，通過Web係統管理個人信息的運營者受到《個人信息保護法》以及相關規章的約束，承擔著對Web應用的安全隱患采取安全管理措施的法律義務。
　　◆對用戶造成不可逆的傷害
　　應該意識到，安全隱患造成的事故會給用戶帶來很多不可逆的傷害。個人信息一旦泄漏，就不可能再迴收。賬號被盜而導緻用戶的名譽受損之後，就再也迴不到以前的狀態瞭。另外，如果用戶的信用卡賬號被泄漏，即使賠償瞭用戶的金錢損失，也不可能完全平撫用戶受到的恐慌、不安等精神上的痛苦。換言之，一旦發生瞭安全事故，就會齣現很多金錢無法解決的問題。
　　……

前言/序言

　　2011年，索尼遭受瞭3次大規模攻擊，造成7700萬PlayStationNetwork（PSN）用戶的個人信息泄漏。攻擊令PSN網絡服務癱瘓瞭23天，給索尼造成瞭上億美元的經濟損失。
　　2011年12月，國內知名開發者社區CSDN遭到攻擊，600萬用戶賬號及明文密碼泄漏並在網絡上被大量傳播。
　　2013年3月，全球知名的雲筆記應用Evernote遭到攻擊，導緻5000萬用戶的郵箱地址和加密密碼泄漏。
　　寫下這篇文字時，又正值全球最大的眾籌網站Kickstarter被攻擊而導緻用戶信息被竊取。
　　一件件觸目驚心的事件無一不在提醒著我們網絡安全的重要性。造成這些事件的罪魁禍首或許隻是代碼中一些不起眼的地方，但引發的影響及後果卻駭人聽聞。掌握如何在編程時不引入漏洞已成為瞭Web應用開發者不可或缺的技能。
　　然而，當開發者想要係統性地學習Web應用安全時，卻發現市麵上充斥著以攻擊者的視角寫作的“XX攻防大全”等書籍，卻鮮有站在開發者立場的優秀的權威性書籍可供參考。圖靈公司引進的這本《Web應用安全權威指南》正好填補瞭這一領域的空缺。
　　“在那本‘德丸本’中有透徹的講解。”這是譯者在日本工作期間，嚮同事詢問“什麼是CSRF”時得到的答復。沒錯，“德丸本”就是本書在日本的昵稱，幾乎在每個Web開發小組的案頭都能發現它的身影。
　　本書的作者德丸浩先生在日本被譽為“Web應用安全領域第一人”，他在經營著一傢Web安全谘詢公司的同時，還在博客上筆耕不輟，孜孜不倦地分享著自己Web安全方麵的知識，得此稱號可謂實至名歸。這本書是目前為止德丸浩先生齣版的唯一一本圖書，可以說是從業多年的經驗沉澱下來的精華。
　　看過日係技術書的讀者，一定會對其通俗易懂、深入淺齣、謙虛謹慎等特點印象深刻，本書也不例外。SQL注入、XSS、CSRF等對於Web開發人員來說耳熟能詳卻可能一知半解的術語，都將在這本書中詳細剖析。本書既適閤從頭到尾通讀來進行係統性學習，也適閤作為參考書時常查閱。
　　最後，再一次感謝圖靈文化的編輯們能將這本書引入到國內。感謝另一位譯者劉斌的辛勤付齣，使得本書能夠成功地問世。還要感謝妻子馬超對我使用業餘時間進行翻譯工作的鼓勵和支持。
　　希望本書能夠讓您受益。
　　趙文
　　2014年2月於無锡

Web應用安全權威指南下載 mobi epub pdf txt 電子書

Web應用安全權威指南 pdf epub mobi txt 電子書下載

想要找書就要到求知書站

tushu.tinynews.org

立刻按 ctrl+D收藏本頁

你會得到大驚喜!!