Web安全技术基础

本书聚焦Web安全相 关技术，按照客户端、网 络协议、服务端和数据库 的逻辑线对安全问题进行 了分类和分析。本书从基 本的漏洞入手，对XSS跨 站脚本攻击、文件上传漏 洞、文件包含漏洞、命令 执行漏洞和SQL注入漏洞 等进行了讨论，详细讲解 了它们的产生原理、利用 方法及防御的演进过程。 同时，本书提供了配套的 本地和云上实验靶场，可 帮助读者更好地理解漏洞 原理和利用方法，提高学 习效果。 本书既可作为高等学 校信息安全、网络空间安 全、计算机科学与技术及 相关专业本科生学 习“Web 安全技术”课程 的教材，也可供从事Web 安全相关工作的工程技术 人员学习和参考。

第1章 Web技术和安全问题 1.1 Web技术概述 1.1.1 Web技术的发展 1.1.2 Web全栈技术 1.1.3 Web应用体系框架 1.1.4 本书使用的Web集成环境 1.2 Web涉及的安全问题 1.2.1 Web安全问题的产生原因和相关案例 1.2.2 开放性Web应用程序安全项目(OWASP) 1.3 Web安全技术的学习方法 练习题 第2章 客户端安全 2.1 客户端开发 2.1.1 客户端开发基础 2.1.2 HTML 2.1.3 CSS 2.1.4 JavaScript 2.2 XSS跨站脚本攻击 2.2.1 XSS基础 2.2.2 反射型XSS 2.2.3 存储型XSS 2.2.4 XSS攻击平台 练习题 第3章 网络协议安全 3.1 HTTP简介 3.1.1 HTTP的工作流程 3.1.2 HTTP请求 3.1.3 浏览器中的HTTP数据包 3.2 HTTP安全 3.2.1 HTTP的缺陷 3.2.2 劫持工具 3.2.3 HTTP的恶意利用 练习题 第4章 服务端安全 4.1 PHP基础 4.1.1 基础语法 4.1.2 表单验证 4.2 PHP语法漏洞 4.2.1 变量的弱类型漏洞 4.2.2 PHP函数类漏洞 4.3 文件上传漏洞 4.3.1 特洛伊木马和菜刀类工具 4.3.2 漏洞原理 4.3.3 客户端验证和文件类型绕过 4.3.4 服务器操作系统关联型漏洞 4.3.5 编码格式漏洞 4.3.6 Web服务器配置型漏洞 4.3.7 条件竞争 4.3.8 文件上传漏洞的防御 4.4 文件包含漏洞 4.4.1 漏洞原理 4.4.2 漏洞利用 4.4.3 伪协议包含 4.4.4 文件包含漏洞的防御 4.5 序列化和反序列化漏洞 4.5.1 序列化基础 4.5.2 魔术方法 4.5.3 漏洞原理 4.5.4 漏洞利用 4.5.5 序列化和反序列化漏洞的防御 4.6 命令执行漏洞 4.6.1 漏洞原理 4.6.2 漏洞利用 4.6.3 绕过方法 4.6.4 命令执行漏洞的防御 练习题 第5章 数据库安全 5.1 数据库基础 5.1.1 数据库和安全问题 5.1.2 PhpStudy中的MySQL 5.1.3 MySQL基本指令 5.1.4 MySQL与PHP的连接 5.2 SQL注入漏洞 5.2.1 漏洞原理 5.2.2 万能密码 5.2.3 跨表检索 5.2.4 注入点类型 5.2.5 基本SQL注入 5.2.6 高阶SQL注入 5.3 绕过WAF的SQL注入 5.3.1 WAF基础 5.3.2 绕过方法 5.4 SQL注入漏洞的防御 练习题 附录 与安全相关的法律法规 参考文献