登入帳戶　 |　訂單查詢　 |　購物車/收銀台( 0 )　|　在線留言板　 |　付款方式　 |　運費計算　 |　聯絡我們　 |　幫助中心　|　 加入書簽
會員登入 新用戶登記
HOME新書上架暢銷書架好書推介特價區會員書架精選月讀2023年度TOP分類瀏覽雜誌 臺灣用戶
品種：超過100萬種各類書籍/音像和精品，正品正價，放心網購，悭钱省心 服務：香港／台灣／澳門／海外 送貨：速遞／郵局／服務站

新書上架：簡體書 繁體書
暢銷書架：簡體書 繁體書
好書推介：簡體書 繁體書

八月出版：大陸書 台灣書
七月出版：大陸書 台灣書
六月出版：大陸書 台灣書
五月出版：大陸書 台灣書
四月出版：大陸書 台灣書
三月出版：大陸書 台灣書
二月出版：大陸書 台灣書
一月出版：大陸書 台灣書
12月出版：大陸書 台灣書
11月出版：大陸書 台灣書
十月出版：大陸書 台灣書
九月出版：大陸書 台灣書
八月出版：大陸書 台灣書
七月出版：大陸書 台灣書
六月出版：大陸書 台灣書

『簡體書』网站渗透测试实务入门

書城自編碼： 3530668
分類：簡體書→大陸圖書→計算機/網絡→圖形圖像/多媒體
作者： 陈明照
國際書號(ISBN)： 9787302556848
出版社： 清华大学出版社
出版日期： 2020-08-01

頁數/字數： /
書度/開本： 16开 釘裝： 平装

售價：HK$ 91.1

我要買 件

 

** 我創建的書架 **
未登入.

新書推薦：
时尚箱包及配饰 [英]达拉-简·吉尔罗伊
《 时尚箱包及配饰 [英]达拉-简·吉尔罗伊 》
售價：HK$ 170.2
当代历史学新趋势：理论、方法与实践（论世衡史丛书，当下历史学在研究什么？未来历史学的趋势是什么？）
《 当代历史学新趋势：理论、方法与实践（论世衡史丛书，当下历史学在研究什么？未来历史学的趋势是什么？） 》
售價：HK$ 112.7
晋国600年（全四册）
《 晋国600年（全四册） 》
售價：HK$ 250.7
深中通道 穿越千年文明 迈向中国式现代化
《 深中通道 穿越千年文明 迈向中国式现代化 》
售價：HK$ 101.2
礼不远人：走近明清京师礼制文化
《 礼不远人：走近明清京师礼制文化 》
售價：HK$ 109.3
杯中风土：日本酒的文化史
《 杯中风土：日本酒的文化史 》
售價：HK$ 90.9
简读中国史（全四册）
《 简读中国史（全四册） 》
售價：HK$ 282.4
全球基础研究人才指数报告（2023）
《 全球基础研究人才指数报告（2023） 》
售價：HK$ 342.7

 
編輯推薦：
当我们将系统部署到网站上时，系统就已经面对成千上万的测试，其中不乏来自有心人的恶意攻击。系统提供越多的服务，遭受攻击的概率就越高。虽然就安全系统开发生命周期（SSDLC）观点，系统从一开始规划就必须注重相关的安全防护，但一个系统的成形要经过很多人的手，如何保证每个人都尽到安全防护的责任？又该怎么验证？况且每天都有新的弱点、漏洞被发现，要如何得知原本安全的系统是否存在新发现的漏洞？要发现这些漏洞，就需要依靠良性的测试，即渗透测试。
本书将告诉您渗透测试实操的步骤，并会介绍一些免费的工具，即使没有深厚的理论基础，只要参照本书的步骤练习，也能轻松学习网站渗透测试方法。
內容簡介：
本书从实战的角度出发，以浅显的文字，让新入门者在短时间内，以*有效的方式一窥网站渗透测试的全貌。本书通过网站渗透测试工具的介绍，详述如何建立系统安全防范意识，强化渗透测试的概念，如何防范新的安全弱点等，以保证从业者能够保护网络系统的信息安全，尽可能降低新手的学习门槛。 本书主要包括渗透测试的基本程序、渗透测试的练习环境、网站弱点、信息搜集、网站探测及弱点评估、网站渗透、离线密码破解、渗透测试报告等内容。 本书内容全面，既适合广大渗透测试的入门者阅读，也可供大中专院校信息安全及相关专业的师生学习参考。
關於作者：
陈明照，一位狂热追求技术的信息人，2010年以前将精力投注在软件撰写的技巧上，熟悉个人计算机硬件架构，能有效驾驭Assembly、C、Java、C#等程序语言，养过病毒、写过防毒，开发过许多应用程序。目前主要职务：新进人员安全程序开发培训、数字鉴识暨渗透测试作业、制度文件撰拟，现阶段正致力于协助公司提升信息系统自主维运及安全防护能力。
目錄：
第1章 关于渗透测试 1
1.1 关于信息安全 2
1.2 渗透测试的目的 3
1.3 渗透测试与漏洞扫描 4
1.4 用语说明 5
1.5 理论中的渗透测试 6
1.6 我眼中的渗透测试 6
1.7 渗透测试入门知识 7
1.8 为什么只在网站中进行渗透测试 8
1.9 本书的目的 8
1.10 不要沮丧 9
1.11 重点提示 9
第2章 渗透测试基本步骤 10
2.1 执行步骤 10
2.2 记得先取得甲方的同意书（授权书） 13
2.3 摘录《刑法》第二百八十五条和第二百八十六条 14
2.4 测试过程的 PDCA 14
2.5 重点提示 15
第3章 渗透测试练习环境 16
3.1 可在线进行渗透测试的网站 17
3.2 自建模拟测试环境 19
3.2.1 WebGoat 19
3.2.2 Mutillidae II 25
3.2.3 DVWA 30
3.2.4 在IIS安装HacmeBank 33
3.3 更多练习资源 45
3.4 准备渗透工具执行环境 46
3.5 重点提示 50
第4章 网站漏洞概述 51
4.1 Web平台架构与基本原理 51
4.1.1 Web 平台架构 52
4.1.2 Web基本原理 52
4.2 OWASP TOP 10（2017） 55
4.2.1 A1Injection（注入）攻击 55
4.2.2 A2Broken Authentication（失效的身份认证） 57
4.2.3 A3Sensitive Data Exposure（敏感数据泄露） 57
4.2.4 A4XML External Entity（XXE，XML外部实体）注入攻击 59
4.2.5 A5Broken Access Control（失效的访问控制） 60
4.2.6 A6Security Misconfiguration（不当的安全配置） 61
4.2.7 A7Cross-Site Scripting（XSS，跨站脚本）攻击 63
4.2.8 A8Insecure Deserialization（不安全的反序列化） 64
4.2.9 A9Using Components with Known Vulnerabilities
（使用含有已知漏洞的组件） 65
4.2.10 A10Insufficient Logging & Monitoring（不足的日志记录和监控） 65
4.3 其他年度的TOP 10漏洞 66
4.3.1 Cross Site Request Forgery（CSRF，跨站请求伪造） 66
4.3.2 Insecure Direct Object References（不安全的直接对象引用） 67
4.3.3 Unvalidated Redirects and Forwards（未经验证的重定向与转发） 68
4.3.4 Insecure Cryptographic Storage（不安全的加密存储） 70
4.3.5 Failure to Restrict URL Access（限制URL访问失败） 70
4.3.6 Improper Error Handling（不当的错误处理） 71
4.3.7 Buffer Overflows（缓冲区溢出） 72
4.4 其他常见的Web程序漏洞 72
4.4.1 robots.txt设置不当 72
4.4.2 非预期类型的文件上传 73
4.4.3 可被操控的文件路径 73
4.4.4 AJAX机制缺乏保护 74
4.4.5 Cross Frame Scripting（XFS，跨框架脚本）攻击 75
4.4.6 HTTP Response Splitting（HTTP响应拆分）攻击 77
4.4.7 记住密码 78
4.4.8 自动填写表单 81
4.4.9 未适当保护残存的备份文件或备份目录 81
4.5 补充说明 82
4.5.1 关于Blind SQL Injection（SQL盲注法） 82
4.5.2 关于反射型XSS 83
4.5.3 网址栏的XSS 83
4.5.4 关于Cross Site Request Forgery（CSRF，跨站请求伪造） 83
4.5.5 关于Session Hijacking（会话劫持） 84
4.5.6 关于Clickjacking（单击劫持） 85
4.6 重点提示 85
第5章 信息搜集 87
5.1 nslookup 88
5.2 whois 90
5.2.1 浏览器插件 90
5.2.2 命令行工具 91
5.3 DNSRecon 93
5.4 Google Hacking 95
5.4.1 常用的Google搜索限定符 96
5.4.2 实用的搜索语法 99
5.5 hunter.io 101
5.6 metagoofil 103
5.7 theHarvester 104
5.8 HTTrack 110
5.9 DirBuster 114
5.10 在线漏洞数据库 117
5.11 创建字典文件 118
5.11.1 如何预备账号字典 119
5.11.2 如何预备密码字典 120
5.11.3 如何预备网址字典 121
5.12 字典文件生成器 122
5.12.1 crunch 122
5.12.2 RSMangler 124
5.12.3 pw-inspector 128
5.13 后记 129
5.14 重点提示 130
第6章 网站探测及漏洞评估 131
6.1 Zenmap 132
6.2 wFetch 135
6.3 OWASP ZAP 138
6.3.1 选择Persist方式 139
6.3.2 建立主动扫描原则 139
6.3.3 执行主动扫描 140
6.3.4 验证发现的漏洞 142
6.3.5 存储扫描的结果 144
6.4 w3af 145
6.4.1 执行扫描 147
6.4.2 查阅扫描结果 148
6.4.3 调校w3af 150
6.4.4 输出扫描报告 151
6.4.5 其他辅助型的插件 152
6.5 arachni 152
6.6 重点提示 155
第7章 网站渗透工具 156
7.1 关于本地代理 157
7.1.1 IE的代理设置 157
7.1.2 Firefox的代理设置 160
7.1.3 Chrome的代理设置 161
7.1.4 Opera的代理设置 162
7.2 ZAP 162
7.2.1 设置本地代理 162
7.2.2 ZAP的窗口配置 164
7.2.3 使用ZAP自带的浏览器 167
7.2.4 实践探讨 167
7.3 Burp Suite 169
7.3.1 设置本地代理 170
7.3.2 限定操作范围 171
7.3.3 爬找资源 171
7.3.4 利用Burp Suite暴力破解登录账号及密码 172
7.4 THC-Hydra 178
7.4.1 选择判断准则的注意事项 181
7.4.2 用Hydra猜测账号及密码 181
7.4.3 当THC-Hydra遇到中文 184
7.5 Patator 186
7.5.1 Patator的载荷占位符 188
7.5.2 利用http_fuzz模块破解网页登录账号和密码 189
7.5.3 当Patator遇到中文 190
7.6 Ncrack 190
7.7 SQLMap 193
7.8 重点提示 195
第8章 离线密码破解 196
8.1 使用搜索引擎寻找答案 197
8.2 RainbowCrack 198
8.2.1 彩虹表的缺点 199
8.2.2 建立自己的彩虹表 200
8.2.3 排序彩虹表 202
8.2.4 使用彩虹表破解哈希 202
8.3 Hashcat 204
8.3.1 破解模式 205
8.3.2 整理字典文件 207
8.3.3 Hashcat常用选项 207
8.3.4 关于OpenCL信息 209
8.3.5 命令范例 210
8.3.6 常见的Hashcat哈希类型 211
8.4 John the Ripper 212
8.4.1 语法 213
8.4.2 指定加密格式 215
8.4.3 john.pot与show选项 217
8.4.4 暂时中断执行 217
8.5 破解文件加密 218
8.5.1 破解加密的MS Office文件 218
8.5.2 破解加密的PDF 220
8.5.3 破解加密的ZIP 220
8.5.4 破解加密的7z 221
8.5.5 破解加密的RAR 222
8.5.6 破解加密的SSH私钥 222
8.5.7 破解WebDAV连接密码 222
8.6 重点提示 223
第9章 渗透测试报告 224
9.1 准备好渗透测试记录 224
9.2 撰写渗透测试报告书 225
9.3 报告书的撰写建议 226
9.4 文件复核 227
9.5 重点提示 227
第10章 持续精进技巧 228
10.1 理论及操作基础 229
10.2 Web调试及追踪技巧 229
10.3 经验分享 230
10.4 浏览器插件与在线工具 231
10.5 延伸阅读 233
10.6 重点提示 234
附录 渗透测试足迹搜集检查表 235
內容試閱：
信息技术行业的发展日新月异，从互联网（Internet）到物联网（Internet of Things）、万物互联网（Internet of Everything）。以前人们喜欢谈论网络，现在则更喜欢谈论云计算，数字通信技术更进步了，相应的用词也更炫酷了，但是基本的概念并没有太大改变。现在一部手机集成了以往的计算机、随身听、电视机、数码相机等设备的功能，不过在实际使用上只是一机扮演多个角色，并没有变成计算机电视相机这种新品类。这期间发生了不少与信息安全相关的事件，如WannaCry计算机病毒肆虐、券商遭受DoS攻击、通过银行ATM盗取现金的事件、一些网站的个人信息外泄等，但是仔细分析这些攻击或防御技术以及相关的概念，和以往的差异并不大，仔细探究事件原因，并非黑客使用了更高深的技术或者技巧，其实还都是几年前就有的手段，为什么依然有效呢？因为人类的经验需要通过学习才能传承，新一代人只能通过学习才能掌握既有的知识，所以SQL Injection（SQL注入）、XSS（Cross Site Scripting，跨站点脚本）、社交工程等依然是最有效的攻击手法。
初入渗透测试及数字验证团队时，我曾被委派参加外部机构举办的相关培训。授课老师们的生动讲解让我了解到黑客技术也可以反过来促进网站防御的能力提升，合理地运用黑客技术可以发现网站的弱点甚至漏洞、帮助网站建立防御系统和完善防御的措施，这种思路导正了我对黑客技术只是用于系统入侵的偏执想法。
刚踏入渗透测试这道门时，我曾努力自学，寻找相关的书籍及网络信息，但心中一直有一个缺憾，找不到几本有参考性的中文书。时光流转好几年，终于看到少量有关网站渗透测试实践相关的图书出版，对信息安全领域的从业者来说是好事，为想进入渗透测试领域的人提供更有价值、概念正确的学习教材。信息安全不是少数人能成就的事业，只有让更多的人真正参与信息安全项目，才能落实防御工事，否则口号喊得震天动地，信息防护依然是纸糊的铜墙铁壁！
本书从一个初次踏入渗透测试领域者的观点出发，以浅显的文字让新入门者在短时间内以最有效的方式一窥网站渗透测试的全貌，加入了我多年实施具体渗透测试项目所获得的经验和体会。
本书付梓得益于许多人的帮忙，在此感谢同事们的建议及领导的支持，让我持续精进网站渗透测试的技术；感谢出版社，让渗透测试新手多了一本参考图书；感谢我的妻子，她的鼓励维持了我对信息技术的热情；还要感谢许多网友的支持、建议和指正，及时修正我稍有偏差的概念。借用陈之藩大师的话：要感谢的人太多了，就感谢天吧！
虽然历经几年的磨炼，仍觉得未摸透渗透测试的底细，毕竟信息技术博大精深，个人才疏学浅，书中所述的方法、概念不免有疏漏之处，敬请各位读者不吝指正，我会不定期将应用心得发表到公开网站。
渗透测试的内容包罗万象，涉及多个专业领域，鲜少有人能同时精通各项渗透技术，我无法为读者悉数备妥所需的各种工具及技术，只希望本书所讨论的基本操作规则、技术及技巧能启发读者探索更深、更广的主题。
在人生路上虚长了几年，深深体会到：若想成功，必须下苦功。与读者共勉！

陈明照
2020年3月19日

 

 

書城介紹　 |　合作申請　|　索要書目　 |　新手入門　|　聯絡方式　 |　幫助中心　|　找書說明　 |　送貨方式　|　付款方式 香港用户　 |　台灣用户　|　大陸用户　|　海外用户
megBook.com.hk
Copyright © 2013 - 2024 （香港）大書城有限公司　 All Rights Reserved.