E-book details

Testy penetracyjne nowoczesnych serwisów. Kompendium inżynierów bezpieczeństwa

Testy penetracyjne nowoczesnych serwisów. Kompendium inżynierów bezpieczeństwa

Prakhar Prasad

Ebook

Testy penetracyjne nowoczesnych serwisów. Kompendium inżynierów bezpieczeństwa

Sieć stała się niebezpiecznym miejscem. Między grasującymi złoczyńcami a inżynierami bezpieczeństwa aplikacji trwa ciągły wyścig zbrojeń. Mimo to oczywiste jest, że uzyskanie stuprocentowego bezpieczeństwa jest niemożliwe. Jedną z technik zabezpieczania aplikacji są testy penetracyjne, które polegają na atakowaniu systemu różnymi metodami, aby odnaleźć jego słabe punkty i pokazać, jak można się do niego włamać.

Niniejsza książka stanowi wyczerpujące źródło wiedzy dla testerów przeprowadzających analizę aplikacji internetowej. Opisano tu zarówno najnowsze, jak i klasyczne techniki łamania zabezpieczeń — bardzo często starsze metody rozwijają się w różnych kierunkach i nie należy o nich zapominać. Między innymi przedstawiono informacje o atakach XML, w tym XXE, oraz metody wykorzystywania słabych stron OAuth 2.0. Omówiono również XSS, CSRF, Metasploit i wstrzykiwanie SQL. Nie zabrakło również opisu rzeczywistych przypadków testowania aplikacji.

  • Nowe lub mniej popularne techniki ataku na strony WWW takie jak wstrzykiwanie obiektów PHP lub wykorzystanie danych XML.
  • Sposób pracy z narzędziami do przeprowadzania testów bezpieczeństwa, aby w ten sposób zautomatyzować żmudne zadania.
  • Różne rodzaje nagłówków HTTP wspomagających zapewnienie wysokiego poziomu bezpieczeństwa aplikacji.
  • Wykorzystywanie i wykrywanie różnego rodzaju podatności XSS.
  • Ochronę aplikacji dzięki technikom filtracji.
  • Stare techniki ataku takie jak XSS, CSRF i wstrzykiwanie SQL, ale w nowej osłonie.
  • Techniki ataku takie jak XXE i DoS wykorzystujące pliki XML.
  • Sposoby testowania API typu REST w celu znalezienia różnego rodzaju podatności i wycieków danych.

Testy penetracyjne — klucz do bezpieczeństwa Twojej aplikacji!

Prakhar Prasad mieszka w Indiach. Jest ekspertem w dziedzinie bezpieczeństwa aplikacji specjalizującym się w testach penetracyjnych. W 2014 roku został sklasyfikowany na dziesiątej pozycji w światowym rankingu HackerOne. Zdobył kilka nagród za znalezienie luk bezpieczeństwa w takich serwisach, jak Google, Facebook, Twitter, PayPal czy Slack. Posiada certyfikaty z OSCP. Przeprowadza testy bezpieczeństwa dla różnych organizacji rządowych, pozarządowych i edukacyjnych.

O autorze (7)

O redaktorze merytorycznym (9)

Wstęp (11)

Rozdział 1. Typowe protokoły bezpieczeństwa (17)

  • SOP (17)
  • CORS (21)
  • Kodowanie URL, czyli kodowanie z procentem (24)
  • Podwójne kodowanie (26)
  • Kodowanie Base64 (28)
  • Podsumowanie (31)

Rozdział 2. Zbieranie informacji (33)

  • Techniki zbierania informacji (33)
  • Wyliczanie domen, plików i zasobów (34)
  • Fierce (35)
  • theHarvester (38)
  • SubBrute (39)
  • CeWL (41)
  • DirBuster (42)
  • WhatWeb (44)
  • Shodan (48)
  • DNSdumpster (50)
  • Wyszukiwanie domen po odwróconym adresie IP - YouGetSignal (50)
  • Pentest-Tools (52)
  • Zaawansowane wyszukiwanie Google (52)
  • Podsumowanie (56)

Rozdział 3. Ataki XSS (57)

  • Odbity XSS (58)
  • Zapisany XSS (62)
  • Ataki XSS wykorzystujące Flasha - funkcja ExternalInterface.call() (70)
  • Znaczniki HttpOnly i bezpieczne pliki cookie (71)
  • Ataki XSS bazujące na obiektach DOM (72)
  • Narzędzie BeEF, czyli wykorzystywanie podatności XSS (75)
  • Podsumowanie (81)

Rozdział 4. Atak CSRF (83)

  • Wprowadzenie do CSRF (84)
  • Wykonywanie ataku CSRF dla żądań POST (85)
  • W jaki sposób programiści zapobiegają CSRF? (86)
  • Podatność CSRF PayPala dotycząca zmiany numerów telefonów (87)
  • Wykorzystanie podatności na atak CSRF w żądaniach typu JSON (88)
  • Wykorzystanie ataku XSS do wykradania tokenów CSRF (90)
  • Wykorzystanie słabości tokena CSRF (91)
  • Flash na ratunek (92)
  • Podsumowanie (96)

Rozdział 5. Wykorzystanie wstrzykiwania SQL (97)

  • Instalacja SQLMap w systemie Kali Linux (98)
  • Wprowadzenie do SQLMap (99)
  • Pobieranie danych - scenariusz z wykorzystywaniem błędu (102)
  • SQLMap i modyfikacja adresów URL (106)
  • Przyspieszamy cały proces (107)
  • Pobieranie danych z bazy w scenariuszach wykorzystujących czas lub działających na ślepo (109)
  • Odczyt i zapis plików (111)
  • Obsługa wstrzykiwania w żądaniu POST (115)
  • Wstrzykiwanie SQL do stron wymagających logowania (118)
  • Powłoka SQL (119)
  • Powłoka poleceń (119)
  • Unikanie filtrów - skrypty modyfikujące (121)
  • Konfiguracja serwera pośredniczącego (124)
  • Podsumowanie (124)

Rozdział 6. Podatności na atak związane z przesyłaniem plików (127)

  • Podatność na atak związana z przesyłaniem plików - wprowadzenie (128)
  • Zdalne wykonywanie kodu (129)
  • Powrót do XSS (134)
  • Ataki typu DoS (136)
  • Obejście zabezpieczeń związanych z przesyłaniem plików (138)
  • Podsumowanie (146)

Rozdział 7. Metasploit i sieć WWW (149)

  • Moduły Metasploit (149)
  • Użycie Msfconsole (151)
  • Wykorzystanie modułów pomocniczych związanych z aplikacjami internetowymi (153)
  • Wykorzystanie WMAP (157)
  • Generowanie w Metasploit ładunków dla aplikacji internetowych (161)
  • Podsumowanie (166)

Rozdział 8. Ataki XML (167)

  • Podstawy formatu XML (168)
  • Atak XXE (172)
  • XML do kwadratu (178)
  • Podsumowanie (180)

Rozdział 9. Nowe wektory ataków (181)

  • Atak SSRF (181)
  • Atak IDOR (188)
  • Przebijanie DOM (194)
  • Atak RPO (196)
  • Podmiana interfejsu użytkownika (201)
  • Wstrzykiwanie obiektów PHP (204)
  • Podsumowanie (209)

Rozdział 10. Bezpieczeństwo Oauth 2.0 (211)

  • Wprowadzenie do modelu OAuth 2.0 (212)
  • Otrzymywanie upoważnień (215)
  • Użycie OAuth dla zabawy i zysku (219)
  • Podsumowanie (223)

Rozdział 11. Metodologia testowania API (225)

  • Zrozumieć API typu REST (225)
  • Konfiguracja środowiska testowego (230)
  • Nauka API (232)
  • Podstawowa metodologia testowania API dla programistów (237)

Skorowidz (243)

  • Title: Testy penetracyjne nowoczesnych serwisów. Kompendium inżynierów bezpieczeństwa
  • Author: Prakhar Prasad
  • Original title: Mastering Modern Web Penetration Testing
  • Translation: Rafał Jońca
  • ISBN: 978-83-283-3460-1, 9788328334601
  • Date of issue: 2017-08-21
  • Format: Ebook
  • Item ID: tespen
  • Publisher: Helion