网络空间安全实验教程

作品简介

本书内容包括注入攻击、XSS与XXE攻击、认证与授权攻击、开放重定向与IFrame框架钓鱼攻击、CSRF/SSRF与远程代码执行攻击、不安全配置与路径遍历攻击、不安全的直接对象引用与应用层逻辑漏洞攻击、客户端绕行与文件上传攻击、弱与不安全的加密算法攻击、暴力破解与HTTP Header攻击、HTTP参数污染篡改与缓存溢出攻击，还讲解了两种安全测试工具的使用，包括Burp Suite和ZAP。

本书既可作为高等院校计算机类、信息类、工程和管理类专业网络安全相关课程的教材，也可作为软件开发工程师、软件测试工程师、信息安全工程师、信息安全架构师等的参考书或培训指导书。

王顺编著

作品目录

• 高等教育网络空间安全规划教材编委会成员名单
• 前言
• 第1章 注入攻击实训
• 1.1 知识要点与实验目标
• 1.2 Testfire 网站有 SQL 注入风险
• 1.3 Testasp 网站有 SQL 注入风险
• 1.4 CTF Micro-CMS v2网站有SQL注入风险
• 1.5 Testfire网站有HTML注入风险
• 1.6 近期注入攻击披露
• 1.7 扩展练习
• 第2章 XSS与XXE攻击实训
• 2.1 知识要点与实验目标
• 2.2 Testfire网站有XSS攻击风险
• 2.3 Webscantest网站存在XSS攻击危险
• 2.4 CTF Micro-CMS v1网站有XSS攻击风险
• 2.5 近期XSS与XXE攻击披露
• 2.6 扩展练习
• 第3章 认证与授权攻击实训
• 3.1 知识要点与实验目标
• 3.2 Zero网站能获得管理员身份
• 3.3 CTF Postbook用户A能修改用户B数据
• 3.4 CTF Postbook用户A能用他人身份创建数据
• 3.5 近期认证与授权攻击披露
• 3.6 扩展练习
• 第4章 开放重定向与IFrame框架钓鱼攻击实训
• 4.1 知识要点与实验目标
• 4.2 Testasp网站未经认证的跳转
• 4.3 Testaspnet网站未经认证的跳转
• 4.4 Testaspnet网站有框架钓鱼风险
• 4.5 Testasp网站有框架钓鱼风险
• 4.6 近期开放重定向与IFrame框架钓鱼攻击披露
• 4.7 扩展练习
• 第5章 CSRF/SSRF与远程代码执行攻击实训
• 5.1 知识要点与实验目标
• 5.2 南大小百合BBS存在CSRF攻击漏洞
• 5.3 新浪weibo存在CSRF攻击漏洞
• 5.4 CTF Cody's First Blog网站有RCE攻击1
• 5.5 CTF Cody's First Blog网站有RCE攻击2
• 5.6 近期CSRF/SSRF与远程代码执行攻击披露
• 5.7 扩展练习
• 第6章 不安全配置与路径遍历攻击实训
• 6.1 知识要点与实验目标
• 6.2 Testphp网站出错页暴露服务器信息
• 6.3 Testphp网站服务器信息泄露
• 6.4 Testphp网站目录列表暴露
• 6.5 言若金叶软件工程师成长之路目录能被遍历
• 6.6 近期不安全配置与路径遍历攻击披露
• 6.7 扩展练习
• 第7章 不安全的直接对象引用与应用层逻辑漏洞攻击实训
• 7.1 知识要点与实验目标
• 7.2 Oricity用户注销后还能邀请好友
• 7.3 Testphp网站数据库结构泄露
• 7.4 Oricity网站有内部测试网页
• 7.5 智慧绍兴-积分管理页随机数问题
• 7.6 近期不安全的直接对象引用与应用层逻辑漏洞攻击披露
• 7.7 扩展练习
• 第8章 客户端绕行与文件上传攻击实训
• 8.1 知识要点与实验目标
• 8.2 Oricity网站JS前端控制被绕行
• 8.3 Oricity网站轨迹名采用不同验证规则
• 8.4 Oricity网站上传文件大小限制问题
• 8.5 智慧绍兴-电子刻字不限制上传文件类型
• 8.6 近期客户端绕行与文件上传攻击披露
• 8.7 扩展练习
• 第9章 弱与不安全的加密算法攻击实训
• 9.1 知识要点与实验目标
• 9.2 CTF Postbook删除帖子有不安全加密算法
• 9.3 CTF Postbook用户身份Cookie有不安全加密算法
• 9.4 近期弱与不安全的加密算法攻击披露
• 9.5 扩展练习
• 第10章 暴力破解与HTTP Header攻击实训
• 10.1 知识要点与实验目标
• 10.2 Testfire网站登录页面有暴力破解风险
• 10.3 CTF Micro-CMS v2网站有暴力破解风险
• 10.4 Testfire网站Cookies没有HttpOnly
• 10.5 Testphp网站密码未加密传输
• 10.6 近期暴力破解与HTTP Header攻击披露
• 10.7 扩展练习
• 第11章 HTTP 参数污染/篡改与缓存溢出攻击实训
• 11.1 知识要点与实验目标
• 11.2 Oricity网站URL篡改暴露代码细节
• 11.3 CTF Postbook网站查看帖子id可以参数污染
• 11.4 CTF Cody's First Blog网站admin篡改绕行漏洞
• 11.5 近期HTTP 参数污染/篡改与缓存溢出攻击披露
• 11.6 扩展练习
• 第12章 安全集成攻击平台Burp Suite实训
• 12.1 Burp Suite主要功能
• 12.2 安装Burp Suite
• 12.3 工作流程及配置
• 12.4 Proxy工具
• 12.5 Spider工具
• 12.6 Scanner工具
• 12.7 Intruder工具
• 12.8 Repeater工具
• 12.9 Sequencer工具
• 12.10 Decoder工具
• 12.11 Comparer工具
• 12.12 扩展练习
• 第13章 安全渗透测试工具ZAP实训
• 13.1 ZAP工具的特点
• 13.2 安装ZAP
• 13.3 基本原则
• 13.4 自动扫描实例
• 13.5 手动扫描实例
• 13.6 扫描报告
• 13.7 扩展练习
• 参考文献