本書通過實(shí)際情景、示例代碼深入淺出地介紹了經(jīng)常困撓php web應(yīng)用程序開發(fā)人員的常見安全問題。主要內(nèi)容包括：去除應(yīng)用程序安全漏洞，防御php攻擊，提高運(yùn)行php代碼的服務(wù)器安全，實(shí)施嚴(yán)格的身份驗(yàn)證以及加密應(yīng)用程序，預(yù)防跨站點(diǎn)腳本攻擊，系統(tǒng)化測(cè)試應(yīng)用程序安全性，解決第三方應(yīng)用程序已有漏洞等。
　　 本書內(nèi)容豐富，理論和實(shí)踐緊密結(jié)合。通過詳細(xì)概念說明和完整實(shí)例代碼，讀者可以輕松將自己所學(xué)的理論知識(shí)付諸實(shí)踐。本書適用于各個(gè)階段的web應(yīng)用程序開發(fā)人員。
　　 本書將幫助你掌握編寫可靠的php代碼和提高你正在使用的php軟件安全所需的技術(shù)、技巧以及最佳實(shí)踐。作者揭示經(jīng)常困撓php程序開發(fā)人員的常見代碼安全問題，同時(shí)給出實(shí)用且專業(yè)的解決方案——不管你擁有多少php編程經(jīng)驗(yàn)，這些技術(shù)都非常容易理解和使用。
　　 本書具體包括
　　 ·從起步階段設(shè)計(jì)安全的應(yīng)用程序——去除已有應(yīng)用程序安全漏洞。
　　 ·防御php自身無法防御的會(huì)話劫持、固化以及毒化攻擊。
　　 ·提高運(yùn)行php代碼的服務(wù)器的安全性，包括針對(duì)apache、mysql、iis/sql服務(wù)器的具體指導(dǎo)。
　　 ·實(shí)施嚴(yán)格的身份驗(yàn)證以及加密應(yīng)用。
　　 ·預(yù)防危險(xiǎn)的跨站點(diǎn)腳本攻擊。
　　 ·系統(tǒng)化測(cè)試應(yīng)用程序的安全性，包括探索式測(cè)試和php自動(dòng)化測(cè)試。
　　 ·解決第三方應(yīng)用程序的已有漏洞。

目錄

譯者序
第一篇web開發(fā)是血腥運(yùn)動(dòng)——不打無準(zhǔn)備仗
第1章服務(wù)器安全問題以及其他高深問題1
1.1現(xiàn)實(shí)檢查1
1.2服務(wù)器安全問題2
1.2.1黑客通過非安全應(yīng)用程序獲得控制權(quán)3
1.2.2編程人員可以提高應(yīng)用程序的安全性4
1.3安全困惑4
1.4自身的會(huì)話管理提供安全性6
1.5“我的應(yīng)用程序并不值得攻擊”6
1.6“門衛(wèi)”的典型表現(xiàn)6
1.7小結(jié)7
第二篇安全漏洞是否大到能開大卡車
第2章處理錯(cuò)誤9
2.1留言板應(yīng)用程序9
2.1.1程序總結(jié)9
2.1.2主要代碼清單9
2.2用戶執(zhí)行過度操作10
2.2.1這些代碼會(huì)產(chǎn)生什么結(jié)果10
2.2.2期待非期望輸入13
.2.3構(gòu)建錯(cuò)誤處理機(jī)制14
2.3.1測(cè)試非期望輸入14
2.3.2決定如何處理錯(cuò)誤數(shù)據(jù)17
2.3.3簡(jiǎn)化系統(tǒng)的使用18
2.4小結(jié)20
第3章系統(tǒng)調(diào)用21
3.1了解exec()、system()以及backtick的風(fēng)險(xiǎn)21
3.1.1通過suid位和sudo使用系統(tǒng)命令22
3.1.2使用系統(tǒng)資源22
3.2使用escapeshellcmd()和escapeshellarg()保護(hù)系統(tǒng)調(diào)用23
3.2.1escapeshellcmd()23
3.2.2escapeshellarg()24
3.3創(chuàng)建能夠處理所有系統(tǒng)調(diào)用的api24
3.3.1為什么不轉(zhuǎn)義參數(shù)呢24
3.3.2驗(yàn)證用戶輸入25
3.4修補(bǔ)留言板應(yīng)用程序25
3.4.1movefile（）函數(shù)25
3.4.2修補(bǔ)應(yīng)用程序26
3.5小結(jié)27
第三篇名稱里的內(nèi)涵，遠(yuǎn)多于你所期望的
第4章緩沖區(qū)溢出和變量整理29
4.1什么是緩沖區(qū)，什么是緩沖區(qū)溢出以及為什么要關(guān)注它29
4.1.1緩沖區(qū)、堆棧、堆和內(nèi)存分配30
4.1.2緩沖區(qū)溢出的后果32
4.1.3內(nèi)存分配和php32
4.1.4關(guān)注最新的安全警告34
4.2通過變量整理預(yù)防緩沖區(qū)溢出37
4.2.1前提：數(shù)據(jù)在證實(shí)為安全之前，都可能是有問題的，尤其是來自應(yīng)用程序之外的數(shù)據(jù)37
4.2.2數(shù)據(jù)是從哪兒來的37
4.2.3如何整理數(shù)據(jù)以防止緩沖區(qū)溢出37
4.3為應(yīng)用程序打補(bǔ)丁38
4.3.1驗(yàn)證是否為最新的穩(wěn)定版本…38
4.3.2檢查變量整理39
4.4小結(jié)40
第5章驗(yàn)證輸入41
5.1新特性：允許用戶對(duì)留言板留言簽名41
5.2問題：用戶提供了過多的數(shù)據(jù)42
5.2.1發(fā)送垃圾郵件42
5.2.2注入攻擊42
5.3假設(shè)：你了解你的數(shù)據(jù)42
5.3.1數(shù)據(jù)庫限制43
5.3.2邏輯限制43
5.4解決方法：驗(yàn)證輸入的正則表達(dá)式44
5.4.1數(shù)據(jù)污損44
5.4.2正則表達(dá)式簡(jiǎn)介45
5.4.3正則表達(dá)式的貪婪模式和惰性模式47
5.4.4常見驗(yàn)證輸入模式49
5.5小結(jié)51
第6章文件系統(tǒng)訪問：訪問文件系統(tǒng)的樂趣和益處52
6.1打開文件52
6.1.1本地文件系統(tǒng)訪問52
6.1.2遠(yuǎn)程文件系統(tǒng)訪問53
6.1.3防止遠(yuǎn)程文件系統(tǒng)漏洞54
6.2創(chuàng)建并存儲(chǔ)文件55
6.2.1允許文件上傳55
6.2.2安全地存儲(chǔ)文件56
6.3安全地修改文件屬性57
6.3.1修改unix/linux/mac os x的文件權(quán)限57
6.3.2修改windows文件權(quán)限58
6.3.3在php中修改文件權(quán)限63
6.4修補(bǔ)應(yīng)用程序以便支持用戶上傳圖像文件64
6.4.1修改api64
6.4.2創(chuàng)建上傳表單66
6.5小結(jié)66
第四篇“噢，你可以信任我”
第7章身份驗(yàn)證67
7.1什么是用戶身份驗(yàn)證67
7.1.1用戶名和密碼68
7.1.2圖像識(shí)別70
7.2權(quán)限71
7.3驗(yàn)證用戶的方法71
7.3.1基于字典的身份驗(yàn)證71
7.3.2用戶數(shù)據(jù)庫79
7.4保存用戶名和密碼80
7.4.1加密80
7.4.2密碼強(qiáng)度80
7.4.3評(píng)估漏洞81
7.5修補(bǔ)應(yīng)用程序以便增加用戶身份驗(yàn)證82
7.5.1添加user數(shù)據(jù)庫表和確認(rèn)數(shù)據(jù)庫的安全性82
7.5.2創(chuàng)建身份驗(yàn)證api83
7.6小結(jié)84
第8章加密85
8.1什么是加密85
8.2加密類型86
8.2.1算法能力87
8.2.2速度和安全性87
8.2.3數(shù)據(jù)的使用88
8.3密碼的安全性88
8.4在應(yīng)用程序中增加密碼加密功能…88
8.4.1修改user表89
8.4.2創(chuàng)建加密和salt函數(shù)89
8.4.3修改密碼驗(yàn)證系統(tǒng)89
8.5小結(jié)90
第9章會(huì)話安全性91
9.1什么是會(huì)話變量91
9.2會(huì)話攻擊的主要類型91
9.2.1會(huì)話固化91
9.2.2會(huì)話劫持93
9.2.3會(huì)話毒化（注入）94
9.3修補(bǔ)應(yīng)用程序代碼以提高會(huì)話安全性94
9.4小結(jié)96
第10章跨站式腳本編程97
10.1什么是xss97
10.2反射式xss97
10.3存儲(chǔ)式xss97
10.4修補(bǔ)應(yīng)用程序代碼防范xss攻擊98
10.5小結(jié)99
第五篇夜晚得鎖門
第11章保護(hù)apache和mysql101
11.1編程語言、web服務(wù)器以及操作系統(tǒng)本身都是不安全的101
11.2提高unix、linux或mac os x環(huán)境的安全性102
11.3保護(hù)apache103
11.3.1升級(jí)或安裝apache最新的穩(wěn)定版本104
11.3.2設(shè)置apache專有的用戶和組106
11.3.3隱藏版本號(hào)以及其他敏感信息107
11.3.4將apache限制在自身的目錄結(jié)構(gòu)中107
11.3.5禁用任何不必要的選項(xiàng)109
11.3.6安裝和啟用modsecurity109
11.4保護(hù)mysql113
11.4.1升級(jí)或安裝最新版本113
11.4.2禁用遠(yuǎn)程訪問116
11.4.3修改管理員用戶名和密碼…116
11.4.4刪除默認(rèn)的數(shù)據(jù)庫用戶并為每個(gè)應(yīng)用程序創(chuàng)建新賬戶…117
11.4.5刪除示例數(shù)據(jù)庫118
11.5小結(jié)118
第12章iis和sql server的安全性…119
12.1windows服務(wù)器環(huán)境的安全性…119
12.2iis的安全性125
12.2.1減少服務(wù)器的開放點(diǎn)125
12.2.2web root的安全性126
12.3sql server的安全性131
12.3.1安裝或升級(jí)到最新版本131
12.3.2microsoft sql server的安全性138
12.4小結(jié)143
第13章服務(wù)器端php的安全性144
13.1使用最新版本的php144
13.1.1zend框架和zend優(yōu)化器144
13.1.2找到最新版本的php148
13.1.3使用suhosin補(bǔ)丁和擴(kuò)展149
13.2使用php和apache內(nèi)置的安全特性149
13.2.1safe_mode149
13.2.2suexec150
13.3使用modsecurity150
13.4php.ini的安全性151
13.5小結(jié)153
第14章自動(dòng)化測(cè)試介紹154
14.1為什么在關(guān)于安全的書籍中介紹測(cè)試154
14.2測(cè)試框架155
14.3測(cè)試類型156
14.3.1單元測(cè)試156
14.3.2系統(tǒng)測(cè)試157
14.4選擇合適的測(cè)試數(shù)據(jù)157
14.5小結(jié)158
第15章探索性測(cè)試介紹159
15.1什么是探索性測(cè)試159
15.2fuzz測(cè)試160
15.2.1安裝和配置powerfuzzer160
15.2.2使用powerfuzzer162
15.3測(cè)試工具集165
15.3.1下載cal9000166
15.3.2使用cal9000167
15.4專有測(cè)試套件176
15.4.1專有測(cè)試套件的優(yōu)點(diǎn)和特性176
15.4.2使用專有測(cè)試套件掃描你的應(yīng)用程序176
15.5小結(jié)181
第六篇“不被攻擊”并不是一個(gè)可行的安全策略
第16章計(jì)劃a：從開始階段設(shè)計(jì)安全的應(yīng)用程序183
16.1在開始編寫代碼之前183
16.1.1概念總結(jié)183
16.1.2工作流和角色圖185
16.1.3數(shù)據(jù)設(shè)計(jì)186
16.1.4框架函數(shù)189
16.2標(biāo)識(shí)故障點(diǎn)190
16.2.1登錄和登出190
16.2.2文件上載191
16.2.3用戶輸入192
16.2.4文件系統(tǒng)訪問192
16.3小結(jié)192
第17章計(jì)劃b：去除已有應(yīng)用程序的安全漏洞193
17.1設(shè)置環(huán)境193
17.1.1使用三階段部署193
17.1.2使用版本控制194
17.2提高應(yīng)用程序安全的檢查列表…195
17.2.1檢查服務(wù)器安全性195
17.2.2找到代碼漏洞195
17.2.3修復(fù)最明顯的問題196
17.2.4同事間的代碼評(píng)審197
17.3小結(jié)197
第18章安全是生活方式的選擇：成為一個(gè)優(yōu)秀的編程人員198
18.1避免過多特性198
18.2編寫自文檔化代碼199
18.3使用適合工作的工具200
18.4執(zhí)行同事間的代碼評(píng)審201
18.5小結(jié)201
附錄額外資源202
術(shù)語表206