墨守之道 Web服务安全架构与实践

1. 独特视角解析网络攻防之道 本书借鉴了墨家思想，从多个方面解读Web安全的攻防原理，不仅涉及Web服务与安全的基础理论，也讲解了很多时下热门的安全技术，例如复杂均衡、WAF、日志审计、蜜罐等。 2. 实用案例探秘企业级安全之道 本书案例丰富，适合读者边学边进行实践参考，能够为安全领域的研发人员、运维人员、高校师生、培训机构提供更全面的技术指导和学习素材。 3. 原理解析深入浅出，经典案例有源码配套 本书由资深的安全从业者和高校老师编写，融合了产业界和学界对网络信息安全的深度思考和实践，书中的典型案例还有配套的源码文件提供，方便读者使用。

近年来，信息技术的广泛应用极大地促进了社会进步，也方便了人们的工作和生活，随之而来的网络安全问题日益突显。如何构建安全可靠的网络环境，如何与时俱进地把新技术纳入网络安全防护的实践当中，成为网络安全工作者的重要课题。
本书聚焦于Web服务常用的安全技术，以案例形式展示Web服务所面临的威胁，并给出了丰富多样的解决方案。本书由浅入深地介绍了Web安全的相关主题，包括Web应用程序基础理论、Web服务器与负载均衡、HTTPS和CDN的安全问题、Web服务的安全因素、如何保护Web服务、WAF原理与实践、Web日志审计、蜜罐技术、大数据时代的Web安全、网络安全解决方案等内容。
本书适合网络安全领域的研发人员、运维人员、高校师生、培训机构等群体阅读参考。

盛洋，新浪网高级安全与开发工程师，长期从事企业信息系统开发与嵌入式系统开发。在进入互联网信息安全领域之后，他将企业级信息安全工程方法与对嵌入式系统高性能的要求融入互联网安全信息系统的开发实践中，深度参与了互联网企业云服务防护实践和安全信息系统的构建。他还是《安全客》季刊的作者，FreeBuf安全智库指导专家顾问及“年度作者”。他也是一名活跃的技术博主，运营公众号“糖果的实验室”。

第1章初探门径——Web应用程序基础理论1
1．1Web应用程序是怎样炼成的1
1．2程序员是如何开发Web应用程序的6
1．2．1Web程序的分层结构7
1．2．2各司其职的程序员8
1．3研究Web应用程序的“利器”11
1．3．1黑盒测试类工具11
1．3．2白盒测试类工具13
1．4小结14
第2章登堂入室——Web服务器与负载均衡15
2．1罗马不是一天建成的15
2．2众人拾柴火焰高——集群技术17
2．2．1集群技术的核心——负载均衡算法18
2．2．2实现负载均衡的设备19
2．2．3集群的高可用性21
2．2．4负载均衡设备的部署22
2．2．5集群扩展实例23
2．3用LVS实现负载均衡25
2．3．1DR模式26
2．3．2TUN模式26
2．3．3NAT模式27
2．3．4FULLNAT模式28
2．4保证负载均衡设备的高可用性28
2．5基于OpenResty的负载均衡方案32
2．6使用TOA溯源真实IP33
2．7小结34
第3章祸起萧墙——HTTPS和CDN的安全问题35
3．1服务器与浏览器沟通的桥梁——HTTP35
3．1．1HTTP的工作原理36
3．1．2HTTP的缺陷37
3．2以安全为目标的HTTPS38
3．2．1HTTPS的工作原理38
3．2．2针对HTTPS的攻击39
3．2．3HSTS的工作原理40
3．2．4针对HSTS的攻击41
3．3CDN相关的概念43
3．3．1HTTP范围请求45
3．3．2DDoS攻击47
3．3．3放大攻击47
3．4RangeAmp攻击48
3．4．1小字节范围（SBR）攻击49
3．4．2重叠字节范围（OBR）攻击50
3．5小结52
第4章四战之地——Web服务的安全因素53
4．1Web服务所面临的威胁53
4．2Web服务安全的外部环境因素54
4．2．1操作系统的漏洞55
4．2．2服务器应用程序的漏洞66
4．2．3Docker的缺陷69
4．3Web服务安全的内部代码因素71
4．3．1常见的Web程序漏洞71
4．3．2Web漏洞测试程序（以PHPDVWA为例）73
4．3．3命令注入（ShellInjection）的成因与分析76
4．3．4文件包含漏洞的分析与利用82
4．3．5上传漏洞的分析与利用88
4．3．6跨站请求伪造漏洞的分析与利用92
4．3．7XSS的分析与利用96
4．4Web服务安全检测工具（静态代码审计和动态检测）100
4．4．1信息搜集工具100
4．4．2漏洞扫描工具102
4．4．3Web安全扫描工具103
4．4．4代码审计工具104
4．5小结105
第5章道高一尺——如何保护Web服务106
5．1WAF基础知识107
5．1．1WAF简介107
5．1．2反向代理机制108
5．1．3DDoS防护与WAF的区别110
5．1．4反爬虫防护与WAF的区别110
5．1．5WAF的工作原理110
5．2Lua语言基础115
5．2．1Lua保留字115
5．2．2变量与数据结构115
5．2．3控制结构116
5．2．4函数声明与调用117
5．2．5正则表达式121
5．3WAF的规则编写122
5．3．1XSS攻击拦截正则122
5．3．2SQL注入拦截正则123
5．4高级拦截过滤规则124
5．5WAF的日志分析技术126
5．5．1C模块日志扩展模块126
5．5．2Lua的UDP日志发送129
5．5．3Kafka日志收集130
5．5．4在Conf中配置Syslog日志输出130
5．5．5基于log_by_lua阶段实现日志转发131
5．6网关型WAF系统132
5．6．1安装OpenResty133
5．6．2安装Lapis133
5．6．3创建LuaWeb应用133
5．6．4Lor框架135
5．6．5Orange网关136
5．6．6在云环境中部署Orange140
5．6．7ApacheAPISIX网关144
5．7流量镜像与请求调度147
5．7．1流量镜像与蜜罐系统的联系147
5．7．2配置逻辑148
5．7．3动态切换上游（蜜罐）149
5．8动态跟踪技术151
5．8．1保证网关的安全性151
5．8．2动态跟踪技术152
5．9小结153
第6章魔高一丈——WAF可以让我们高枕无忧吗154
6．1入侵者如何检测WAF154
6．1．1网站有无WAF保护的区别154
6．1．2检测目标网站是否使用WAF155
6．1．3检测目标网站使用的WAF产品158
6．2入侵者如何绕过云WAF161
6．3常见的WAF绕过方法163
6．3．1利用WAF的检查范围164
6．3．2WAF与操作系统的解析差异165
6．3．3利用WAF与服务器应用程序的解析差异170
6．3．4编解码技术的差异172
6．3．5其他常用方法175
6．4小结176
第7章有迹可循——Web日志审计177
7．1Web服务的日志聚合178
7．1．1KafkaCat安装178
7．1．2Nginx和OpenResty日志配置179
7．1．3用KafkaCat发送日志180
7．2Kafka数据队列服务安装180
7．2．1Kafka安装与配置180
7．2．2Zookeeper安装与配置184
7．2．3创建索引并测试186
7．3NxLog187
7．3．1NxLog安装187
7．3．2NxLog配置187
7．4Graylog189
7．5日志自动化取证分析198
7．6小结204
第8章太公钓鱼，愿者上钩——蜜罐技术205
8．1蜜罐技术简介205
8．2蜜罐的部署208
8．2．1Python环境安装208
8．2．2安装PIP208
8．2．3安装VirtualEnv208
8．2．4创建Python虚拟环境208
8．2．5安装OpenCanary209
8．2．6蜜罐系统配置管理209
8．2．7蜜罐服务分析209
8．2．8启动蜜罐系统214
8．3常见的蜜罐服务215
8．3．1HTTP216
8．3．2FTP217
8．3．3SSH218
8．3．4Telnet218
8．3．5MySQL219
8．3．6Git219
8．3．7NTP220
8．3．8Redis220
8．3．9TCP221
8．3．10VNC221
8．3．11RDP222
8．3．12SIP223
8．3．13SNMP223
8．3．14Nmap224
8．3．15SYN探测225
8．3．16FIN225
8．3．17XmasTree226
8．3．18Null227
8．3．19MSSQL228
8．3．20HTTPProxy228
8．4虚拟蜜罐技术与扩展229
8．5蜜罐运维管理234
8．6蜜罐流量监听技术与实现236
8．6．1基于C与Pcap实现的流量分析工具236
8．6．2创建蜜罐监听237
8．6．3编写Makefile239
8．6．4核心API解析239
8．6．5数据源插件243
8．6．6过滤插件245
8．6．7日志输出插件246
8．7用交换机端口聚合技术实现蜜罐部署247
8．7．1交换机端口聚合与蜜罐VLAN划分247
8．7．2单物理网卡与多IP蜜罐实例监听248
8．7．3案例1：捕获内网服务发起的扫描行为248
8．7．4案例2：勒索病毒软件监控249
8．7．5收集攻击payload数据249
8．7．6日志中心与威胁报警250
8．7．7蜜罐系统的监控与运维251
8．8小结252
第9章众擎易举——大数据时代的Web安全253
9．1正常URL与恶意URL254
9．2传统的恶意URL检测方法256
9．3当URL检测遇上机器学习257
9．4深度学习框架258
9．5URL的向量表示259
9．6基于LSTM的恶意URL识别模型261
9．7URL识别模型与WAF的结合264
9．7．1自动威胁日志采集265
9．7．2Sklearn大数据环境267
9．7．3大数据建模实践269
9．8小结271
第10章步步为营——网络安全解决方案272
10．1通过命令注入漏洞进行渗透273
10．1．1攻防系统结构273
10．1．2DVWA的反弹Shell操作275
10．1．3日志与数据中心276
10．2基于DSL的拦截检查防御278
10．2．1DSL与小语言OpenRestyEdgeLang278
10．2．2基于OpenRestyEdgeLang的拦截检查280
10．3基于语义分析库的威胁攻击分析282
10．3．1语义分析原理282
10．3．2libInjection语义分析库283
10．3．3开源语义分析库的局限283
10．4基于神经网络的威胁建模手段284
10．4．1规则泛化284
10．4．2数据神经网络284
10．5跟踪Shell反弹执行进程285
10．5．1System动态跟踪技术285
10．5．2OpenRestyYLang语言287
10．5．3火焰图与动态跟踪289
10．5．4OpenRestyYSQL语言290
10．6小结292