Details zum E-Book

Testy penetracyjne nowoczesnych serwisów. Kompendium inżynierów bezpieczeństwa

Testy penetracyjne nowoczesnych serwisów. Kompendium inżynierów bezpieczeństwa

Prakhar Prasad

E-book

Testy penetracyjne nowoczesnych serwisów. Kompendium inżynierów bezpieczeństwa

Sieć stała się niebezpiecznym miejscem. Między grasującymi złoczyńcami a inżynierami bezpieczeństwa aplikacji trwa ciągły wyścig zbrojeń. Mimo to oczywiste jest, że uzyskanie stuprocentowego bezpieczeństwa jest niemożliwe. Jedną z technik zabezpieczania aplikacji są testy penetracyjne, które polegają na atakowaniu systemu różnymi metodami, aby odnaleźć jego słabe punkty i pokazać, jak można się do niego włamać.

Niniejsza książka stanowi wyczerpujące źródło wiedzy dla testerów przeprowadzających analizę aplikacji internetowej. Opisano tu zarówno najnowsze, jak i klasyczne techniki łamania zabezpieczeń — bardzo często starsze metody rozwijają się w różnych kierunkach i nie należy o nich zapominać. Między innymi przedstawiono informacje o atakach XML, w tym XXE, oraz metody wykorzystywania słabych stron OAuth 2.0. Omówiono również XSS, CSRF, Metasploit i wstrzykiwanie SQL. Nie zabrakło również opisu rzeczywistych przypadków testowania aplikacji.

  • Nowe lub mniej popularne techniki ataku na strony WWW takie jak wstrzykiwanie obiektów PHP lub wykorzystanie danych XML.
  • Sposób pracy z narzędziami do przeprowadzania testów bezpieczeństwa, aby w ten sposób zautomatyzować żmudne zadania.
  • Różne rodzaje nagłówków HTTP wspomagających zapewnienie wysokiego poziomu bezpieczeństwa aplikacji.
  • Wykorzystywanie i wykrywanie różnego rodzaju podatności XSS.
  • Ochronę aplikacji dzięki technikom filtracji.
  • Stare techniki ataku takie jak XSS, CSRF i wstrzykiwanie SQL, ale w nowej osłonie.
  • Techniki ataku takie jak XXE i DoS wykorzystujące pliki XML.
  • Sposoby testowania API typu REST w celu znalezienia różnego rodzaju podatności i wycieków danych.

Testy penetracyjne — klucz do bezpieczeństwa Twojej aplikacji!

Prakhar Prasad mieszka w Indiach. Jest ekspertem w dziedzinie bezpieczeństwa aplikacji specjalizującym się w testach penetracyjnych. W 2014 roku został sklasyfikowany na dziesiątej pozycji w światowym rankingu HackerOne. Zdobył kilka nagród za znalezienie luk bezpieczeństwa w takich serwisach, jak Google, Facebook, Twitter, PayPal czy Slack. Posiada certyfikaty z OSCP. Przeprowadza testy bezpieczeństwa dla różnych organizacji rządowych, pozarządowych i edukacyjnych.

O autorze (7)

O redaktorze merytorycznym (9)

Wstęp (11)

Rozdział 1. Typowe protokoły bezpieczeństwa (17)

  • SOP (17)
  • CORS (21)
  • Kodowanie URL, czyli kodowanie z procentem (24)
  • Podwójne kodowanie (26)
  • Kodowanie Base64 (28)
  • Podsumowanie (31)

Rozdział 2. Zbieranie informacji (33)

  • Techniki zbierania informacji (33)
  • Wyliczanie domen, plików i zasobów (34)
  • Fierce (35)
  • theHarvester (38)
  • SubBrute (39)
  • CeWL (41)
  • DirBuster (42)
  • WhatWeb (44)
  • Shodan (48)
  • DNSdumpster (50)
  • Wyszukiwanie domen po odwróconym adresie IP - YouGetSignal (50)
  • Pentest-Tools (52)
  • Zaawansowane wyszukiwanie Google (52)
  • Podsumowanie (56)

Rozdział 3. Ataki XSS (57)

  • Odbity XSS (58)
  • Zapisany XSS (62)
  • Ataki XSS wykorzystujące Flasha - funkcja ExternalInterface.call() (70)
  • Znaczniki HttpOnly i bezpieczne pliki cookie (71)
  • Ataki XSS bazujące na obiektach DOM (72)
  • Narzędzie BeEF, czyli wykorzystywanie podatności XSS (75)
  • Podsumowanie (81)

Rozdział 4. Atak CSRF (83)

  • Wprowadzenie do CSRF (84)
  • Wykonywanie ataku CSRF dla żądań POST (85)
  • W jaki sposób programiści zapobiegają CSRF? (86)
  • Podatność CSRF PayPala dotycząca zmiany numerów telefonów (87)
  • Wykorzystanie podatności na atak CSRF w żądaniach typu JSON (88)
  • Wykorzystanie ataku XSS do wykradania tokenów CSRF (90)
  • Wykorzystanie słabości tokena CSRF (91)
  • Flash na ratunek (92)
  • Podsumowanie (96)

Rozdział 5. Wykorzystanie wstrzykiwania SQL (97)

  • Instalacja SQLMap w systemie Kali Linux (98)
  • Wprowadzenie do SQLMap (99)
  • Pobieranie danych - scenariusz z wykorzystywaniem błędu (102)
  • SQLMap i modyfikacja adresów URL (106)
  • Przyspieszamy cały proces (107)
  • Pobieranie danych z bazy w scenariuszach wykorzystujących czas lub działających na ślepo (109)
  • Odczyt i zapis plików (111)
  • Obsługa wstrzykiwania w żądaniu POST (115)
  • Wstrzykiwanie SQL do stron wymagających logowania (118)
  • Powłoka SQL (119)
  • Powłoka poleceń (119)
  • Unikanie filtrów - skrypty modyfikujące (121)
  • Konfiguracja serwera pośredniczącego (124)
  • Podsumowanie (124)

Rozdział 6. Podatności na atak związane z przesyłaniem plików (127)

  • Podatność na atak związana z przesyłaniem plików - wprowadzenie (128)
  • Zdalne wykonywanie kodu (129)
  • Powrót do XSS (134)
  • Ataki typu DoS (136)
  • Obejście zabezpieczeń związanych z przesyłaniem plików (138)
  • Podsumowanie (146)

Rozdział 7. Metasploit i sieć WWW (149)

  • Moduły Metasploit (149)
  • Użycie Msfconsole (151)
  • Wykorzystanie modułów pomocniczych związanych z aplikacjami internetowymi (153)
  • Wykorzystanie WMAP (157)
  • Generowanie w Metasploit ładunków dla aplikacji internetowych (161)
  • Podsumowanie (166)

Rozdział 8. Ataki XML (167)

  • Podstawy formatu XML (168)
  • Atak XXE (172)
  • XML do kwadratu (178)
  • Podsumowanie (180)

Rozdział 9. Nowe wektory ataków (181)

  • Atak SSRF (181)
  • Atak IDOR (188)
  • Przebijanie DOM (194)
  • Atak RPO (196)
  • Podmiana interfejsu użytkownika (201)
  • Wstrzykiwanie obiektów PHP (204)
  • Podsumowanie (209)

Rozdział 10. Bezpieczeństwo Oauth 2.0 (211)

  • Wprowadzenie do modelu OAuth 2.0 (212)
  • Otrzymywanie upoważnień (215)
  • Użycie OAuth dla zabawy i zysku (219)
  • Podsumowanie (223)

Rozdział 11. Metodologia testowania API (225)

  • Zrozumieć API typu REST (225)
  • Konfiguracja środowiska testowego (230)
  • Nauka API (232)
  • Podstawowa metodologia testowania API dla programistów (237)

Skorowidz (243)

  • Titel: Testy penetracyjne nowoczesnych serwisów. Kompendium inżynierów bezpieczeństwa
  • Autor: Prakhar Prasad
  • Originaler Titel: Mastering Modern Web Penetration Testing
  • Übersetzung: Rafał Jońca
  • ISBN: 978-83-283-3460-1, 9788328334601
  • Veröffentlichungsdatum: 2017-08-21
  • Format: E-book
  • Artikelkennung: tespen
  • Verleger: Helion