本書作為Web安全知識普及與技術(shù)推廣教材，不僅能夠?yàn)槌鯇W(xué)Web安全的學(xué)生提供全面、實(shí)用的理論和技術(shù)基礎(chǔ)，而且可以有效培養(yǎng)學(xué)生進(jìn)行Web安全防御的能力。本書以O(shè)WASP Top 10為基礎(chǔ)，重點(diǎn)介紹了SQL注入漏洞、XSS漏洞、CSRF漏洞、SSRF漏洞、文件下載漏洞、文件包含漏洞、文件上傳漏洞、暴力破解漏洞、命令執(zhí)行漏洞、不安全的驗(yàn)證碼漏洞、反序列化漏洞與XXE漏洞12種常見的Web漏洞。全書共有7個(gè)項(xiàng)目，包括Web安全初探、Web協(xié)議與分析、Web漏洞檢測工具、Web漏洞實(shí)驗(yàn)平臺、Web常見漏洞分析（一）、Web常見漏洞分析（二）、Web常見漏洞分析（三），通過漏洞實(shí)驗(yàn)平臺，分析Web漏洞原理，輔以漏洞利用方法的相關(guān)實(shí)驗(yàn)，讓學(xué)生了解如何發(fā)現(xiàn)常見的Web漏洞，并進(jìn)行相應(yīng)的防御。本書可以作為高等職業(yè)院校與高等�？茖W(xué)校計(jì)算機(jī)、信息安全及其他相關(guān)專業(yè)學(xué)生的教材，也可以作為網(wǎng)絡(luò)安全管理員、網(wǎng)絡(luò)工程技術(shù)人員的參考用書。
陳云志，男，碩士研究生，浙江杭州人。杭州職業(yè)技術(shù)學(xué)院信息工程學(xué)院院長，主要講授計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)、信息安全方向課程。承擔(dān)浙江省十三五優(yōu)勢專業(yè)—信息安全與管理專業(yè)建設(shè)，《路由與交換》國家級精品課程主講教師、“十二五”國家規(guī)劃教材《路由與交換》副主編，承擔(dān)廳級課題3項(xiàng)，發(fā)表論文6篇，其中EI收錄1篇。
項(xiàng)目一 Web安全初探 1
1.1 Web安全現(xiàn)狀與發(fā)展趨勢 1
1.1.1 Web安全現(xiàn)狀 1
1.1.2 Web安全發(fā)展趨勢 6
1.2 Web系統(tǒng)介紹 7
1.2.1 Web的發(fā)展歷程 7
1.2.2 Web系統(tǒng)的構(gòu)成 8
1.2.3 Web系統(tǒng)的應(yīng)用架構(gòu) 9
1.2.4 Web的訪問方法 10
1.2.5 Web編程語言 11
1.2.6 Web數(shù)據(jù)庫訪問技術(shù) 12
1.2.7 Web服務(wù)器 13
實(shí)例1 十大Web安全漏洞比較分析 15
項(xiàng)目二 Web協(xié)議與分析 16
2.1 HTTP 16
2.1.1 HTTP的通信過程 17
2.1.2 統(tǒng)一資源定位符 17
2.1.3 HTTP的連接方式和無狀態(tài)性 18
2.1.4 HTTP的請求報(bào)文 18
2.1.5 HTTP的響應(yīng)報(bào)文 22
2.1.6 HTTP的報(bào)文報(bào)頭類型匯總 24
2.1.7 HTTP的會話管理 24
2.2 HTTPS 26
2.2.1 HTTPS和HTTP的主要區(qū)別 26
2.2.2 HTTPS與Web服務(wù)器的通信過程 27
2.2.3 HTTPS的優(yōu)點(diǎn) 27
2.2.4 HTTPS的缺點(diǎn) 28
2.3 網(wǎng)絡(luò)嗅探工具 28
2.3.1 Wireshark簡介 28
2.3.2 Wireshark的界面 29
實(shí)例1 Wireshark的應(yīng)用實(shí)例 38
實(shí)例1.1 捕捉數(shù)據(jù)包 38
實(shí)例1.2 處理捕捉后的數(shù)據(jù)包 42
項(xiàng)目三 Web漏洞檢測工具 48
3.1 Web漏洞檢測工具AppScan 48
3.1.1 AppScan簡介 48
3.1.2 AppScan的安裝 49
3.1.3 AppScan的基本工作流程 53
3.1.4 AppScan的界面 56
3.2 HTTP分析工具WebScarab 59
3.3 網(wǎng)絡(luò)漏洞檢測工具Nmap 62
3.3.1 Nmap簡介 62
3.3.2 Nmap的安裝 63
3.4 集成化的漏洞掃描工具Nessus 66
3.4.1 Nessus簡介 66
3.4.2 Nessus的安裝 66
實(shí)例1 AppScan掃描實(shí)例 69
實(shí)例2 WebScarab的運(yùn)行 83
實(shí)例3 Nmap應(yīng)用實(shí)例 90
實(shí)例3.1 利用Nmap的圖形界面進(jìn)行掃描 90
實(shí)例3.2 利用Nmap命令行界面進(jìn)行掃描探測 103
實(shí)例4 利用Nessus掃描Web應(yīng)用 111
項(xiàng)目四 Web漏洞實(shí)驗(yàn)平臺 117
4.1 DVWA簡介 117
4.2 WebGoat簡介 118
4.3 Pikachu簡介 119
實(shí)例1 DVWA的安裝與配置 119
實(shí)例2 WebGoat的安裝與配置 128
實(shí)例3 Pikachu的安裝與配置 133
項(xiàng)目五 Web常見漏洞分析（一） 136
5.1 SQL注入漏洞 136
5.2 XSS漏洞 141
實(shí)例1 SQL注入漏洞實(shí)例 145
實(shí)例1.1 手動注入（初級） 145
實(shí)例1.2 使用工具注入 149
實(shí)例1.3 手動注入（中級） 151
實(shí)例1.4 手動注入（高級） 155
實(shí)例1.5 SQL注入漏洞的防御 157
實(shí)例1.6 布爾盲注 157
實(shí)例1.7 時(shí)間盲注 161
實(shí)例1.8 SQL盲注漏洞的防御 163
實(shí)例2 XSS漏洞實(shí)例 165
實(shí)例2.1 反射型XSS漏洞（1） 165
實(shí)例2.2 反射型XSS漏洞（2） 167
實(shí)例2.3 反射型XSS漏洞（3） 168
實(shí)例2.4 反射型XSS漏洞的防御 168
實(shí)例2.5 存儲型XSS漏洞（1） 169
實(shí)例2.6 存儲型XSS漏洞（2） 170
實(shí)例2.7 存儲型XSS漏洞（3） 172
實(shí)例2.8 存儲型XSS漏洞的防御 173
實(shí)例2.9 DOM型XSS漏洞（1） 174
實(shí)例2.10 DOM型XSS漏洞（2） 175
實(shí)例2.11 DOM型XSS漏洞（3） 176
實(shí)例2.12 DOM型XSS漏洞的防御 177
項(xiàng)目六 Web常見漏洞分析（二） 178
6.1 CSRF漏洞 178
6.2 SSRF漏洞 180
6.3 文件下載漏洞 182
6.4 文件包含漏洞 183
6.5 文件上傳漏洞 187
實(shí)例1 CSRF漏洞實(shí)例 187
實(shí)例1.1 CSRF漏洞（1） 187
實(shí)例1.2 CSRF漏洞（2） 189
實(shí)例1.3 CSRF漏洞（3） 190
實(shí)例1.4 CSRF漏洞的防御 192
實(shí)例2 SSRF漏洞實(shí)例 193
實(shí)例2.1 SSRF漏洞（1） 193
實(shí)例2.2 SSRF漏洞（2） 196
實(shí)例3 文件下載漏洞實(shí)例 198
實(shí)例4 文件包含漏洞實(shí)例 199
實(shí)例4.1 文件包含漏洞（1） 199
實(shí)例4.2 文件包含漏洞（2） 202
實(shí)例4.3 文件包含漏洞（3） 203
實(shí)例4.4 文件包含漏洞的防御 204
實(shí)例5 文件上傳漏洞實(shí)例 204
實(shí)例5.1 文件上傳漏洞（1） 204
實(shí)例5.2 文件上傳漏洞（2） 206
實(shí)例5.3 文件上傳漏洞（3） 210
實(shí)例5.4 文件上傳漏洞的防御 213
項(xiàng)目七 Web常見漏洞分析（三） 215
7.1 暴力破解漏洞 215
7.2 命令執(zhí)行漏洞 216
7.3 不安全的驗(yàn)證碼漏洞 217
7.4 反序列化漏洞 219
7.5 XXE漏洞 221
實(shí)例1 暴力破解漏洞實(shí)例 222
實(shí)例1.1 暴力破解漏洞（1） 222
實(shí)例1.2 暴力破解漏洞（2） 227
實(shí)例1.3 暴力破解漏洞（3） 228
實(shí)例1.4 暴力破解漏洞的防御 234
實(shí)例2 命令執(zhí)行漏洞實(shí)例 236
實(shí)例2.1 命令執(zhí)行漏洞（1） 236
實(shí)例2.2 命令執(zhí)行漏洞（2） 241
實(shí)例2.3 命令執(zhí)行漏洞（3） 244
實(shí)例2.4 命令執(zhí)行漏洞的防御 249
實(shí)例3 不安全的驗(yàn)證碼漏洞實(shí)例 251
實(shí)例3.1 不安全的驗(yàn)證碼漏洞（1） 251
實(shí)例3.2 不安全的驗(yàn)證碼漏洞（2） 254
實(shí)例3.3 不安全的驗(yàn)證碼漏洞（3） 256
實(shí)例3.4 不安全的驗(yàn)證碼漏洞的防御 258
實(shí)例4 反序列化漏洞實(shí)例 259
實(shí)例5 XXE漏洞實(shí)例 262
書單推薦
