Web應用系統安全設計與檢測（簡體書）

本叢書從電子政務的固有特點出發，結合編著單位豐富的實踐經驗，圍繞電子政務信息安全保障的重點領域，介紹了信息安全的實用技術方法。
張曉梅、劉海峰、毛東軍等編著的《Web應用系統安全設計和檢測》為叢書的Web應用系統安全設計與檢測分冊，按照Web應用系統的生命周期詳細闡述了Web應用系統的常見安全問題、安全設計與實驗方法及檢測技術，便于讀者在項目實施過程中參考。
《Web應用系統安全設計和檢測》可供各級政府以及安全服務機構、第三方測評機構從事信息化、網絡與信息安全的管理和技術人員使用，也可供其他行業相關人員參考。

張曉梅、劉海峰、毛東軍等編著的《Web應用系統安全設計和檢測》一書從Web應用安全隱患的成因開始入手進行了詳細剖析，并就軟件開發生命周期中應關注的安全問題從產生和防護兩方面分別作了全面闡述，在書的後半部分，又從Web安全檢測者的角度出發，就如何對Web應用系統進行安全檢測展開了詳盡討論，對從事Web信息系統的開發和集成的工程技術人員，以及從事Web應用安全檢測的從業人員來講都具有有益的指導和借鑒意義。

第1章 概述
1.1 Web應用技術的發展
1.2 Web應用安全形勢
1.2.1 Web應用安全攻擊的後果
1.2.2 Web應用安全問題
1.2.3 Web應用安全的特點
1.3 Web應用安全防護
1.3.1 設計實現階段
1.3.2 配置部署階段
1.3.3 運行維護階段
1.3.4 安全測評
第2章 Web應用安全隱患
2.1 概述
2.1.1 Web應用系統安全隱患的成因
2.1.2 Web應用系統安全隱患研究現狀
2.2 Web應用程序設計安全隱患
2.2.1 用戶訪問處理安全隱患
2.2.2 用戶輸入驗證安全隱患
2.2.3 文件系統管理安全隱患
2.2.4 代碼編寫安全隱患
2.3 Web應用配置安全隱患
2.3.1 Web服務器的配置安全隱患
2.3.2 數據庫管理系統的配置管理安全隱患
2.3.3 應用系統配置管理安全隱患
2.4 Web應用系統平臺安全隱患
2.4.1 Web服務器軟件漏洞
2.4.2 數據庫管理系統漏洞
2.4.3 第三方內容管理系統漏洞
第3章 設計安全的Web應用系統架構
3.1 運行環境設計和部署
3.1.1 網絡基礎環境
3.1.2 主機系統安全
3.2 應用系統設計、實現及配置
3.2.1 安全加固
3.2.2 設計實現
3.2.3 安全配置
第4章 設計Web應用系統的安全功能
4.1 示例系統——辦公自動化系統
4.1.1 系統背景
4.1.2 系統業務需求分析
4.1.3 系統業務功能設計
4.2 安全的身份鑒別機制
4.2.1 安全目標
4.2.2 系統問題分析
4.2.3 可供選擇的安全實現技術
4.2.4 身份鑒別安全功能設計
4.3 安全的訪問控制機制
4.3.1 安全目標
4.3.2 系統問題分析
4.3.3 訪問控制安全功能設計
4.4 安全的會話管理機制
4.4.1 安全目標
4.4.2 系統問題分析
4.4.3 示例系統的會話管理安全功能設計
4.5 安全的審計管理機制
4.5.1 安全目標
4.5.2 系統問題分析
4.5.3 常見的第三方日志組件
4.5,4 安全審計功能設計
4.6 安全的資源管理機制
4.6.1 安全目標
4.6.2 系統問題分析
4.6.3 資源管理功能設計
4.7 安全的軟件容錯機制
4.7.1 安全目標
4.7.2 系統問題分析
4.7.3 軟件容錯安全功能詳細設計
4.8 安全的數據處理機制
4.8.1 安全目標
4.8.2 系統問題分析
4.8.3 數據處理安全功能設計
第5章 設計安全的源代碼
5.1 實現安全的輸入輸出處理機制
5.2 實現安全的Web請求處理機制
5.3 實現安全的文件系統源代碼
5.4 實現安全的數據庫系統源代碼
5.5 實現安全的日志處理源代碼
5.6 實現安全的安全特性源代碼
第6章 配置安全的Web應用系統
6.1 配置安全的Web服務器
6.1.1 IIS的安全配置
6.1.2 Tomcat的安全配置
6.1.3 Apache的安全配置
6.1.4 WebSphere的安全配置
6.1.5 WebLogic的安全配置
6.2 配置安全的數據庫管理系統
6.2.1 通用安全配置
6.2.2 MySQL的安全配置
6.2.3 Microsoft SQL Server的安全配置
6.2.4 ORACLE的安全配置
6.3 配置安全的應用系統
6.3.1 身份鑒別
6.3.2 訪問控制
6.3.3 安全審計
6.3.4 資源管理
第7章 Web應用系統源代碼安全審查
7.1 概述
7.2 源代碼靜態分析常見方法
7.3 人工審查
7.3.1 代碼檢查方法簡介
7.3.2 人工審查流程
7.4 自動化審查
7.4.1 常見的源代碼安全審查工具簡介
7.4.2 借助自動化工具的審查流程
第8章 Web應用系統符合性檢測
8.1 Web應用系統安全功能符合性檢測
8.1.1 身份鑒別
8.1.2 訪問控制
8.1.3 安全審計
8.1.4 系統容錯
8.1.5 資源管理
8.1.6 數據完整性
8.1.7 數據保密性
8.1.8 備份和恢復
8.2 Web服務器配置安全符合性檢測
8.2.1 IIS
8.2.2 Tomcat
8.2.3 Weblogic
8.2.4 Websphere
8.3 Web應用系統數據庫管理系統配置安全符合性檢測
8.3.1 SQL Server數據庫
8.3.2 Oracle數據庫
第9章 Web應用系統滲透測試
9.1 Web滲透測試概述
9.1.1 Web滲透測試的作用
9.1.2 Web滲透測試的流程
9.1.3 Web滲透測試工具
9.2 信息挖掘與分析
9.2.1 Web應用程序信息分析
9.2.2 Web應用系統結構分析
9.3 測試身份鑒別機制
9.3.1 測試鑒別憑據管理缺陷
9.3.2 測試驗證碼缺陷
9.4 測試輸入驗證機制
9.4.1 測試跨站腳本漏洞
9.4.2 測試SQL注入漏洞
9.5 測試文件操作漏洞
9.5.1 測試目錄遍歷漏洞
9.5.2 測試文件包含漏洞
9.5.3 測試文件上傳漏洞
附錄
附錄1 Web應用系統程序設計常見安全缺陷列表
附錄2 Web應用程序的安全檢測表（節選）
附錄3 Web安全檢測常見工具
附錄4 wASC WST、Cv2應用安全漏洞分類
參考文獻