Безопасность веб-приложений. Разведка, защита, нападение. 2 изд

Предисловие....20 Изменения во втором издании....20 Исходные требования и цели обучения....20 Почему примеры написаны на JavaScript....21 Почему книга представляет концепции, а не инструменты....22 Требования к уровню знаний....22 Минимальный набор навыков....23 Кому больше всего пригодится эта книга....23 Инженеры-программисты и разработчики веб-приложений....24 Инженеры-программисты....24 Разработчики веб-приложений....24 Общие цели обучения....25 Инженеры по безопасности, пентестеры и охотники за багами....25 Структура книги....26 Разведка....27 Нападение....27 Защита....29 Язык и терминология....31 Резюме....35 Условные обозначения....36 Благодарности....36 От издательства....37 Отзывы о первом издании....19 Глава 1....38 История защиты программного обеспечения....38 Истоки хакерства....38 «Энигма», 1930-е....39 Автоматизированный взлом шифра «Энигмы», 1940-е....42 Фрикинг, 1950-е....45 Метод борьбы с фрикингом, 1960-е....47 Начало компьютерного взлома, 1980-е....48 Расцвет Всемирной паутины, 2000-е....50 Современные хакеры, после 2015-го....52 Резюме....55 Часть I. Разведка....57 Глава 2. Введение в разведку веб-приложений....59 Сбор информации....59 Карта веб-приложения....61 Резюме....63 Глава 3. Структура современных веб-приложений....64 Сравнение современных и более ранних версий приложений....64 REST API....66 Формат JSON....69 JavaScript....71 Переменные и их область видимости....72 Функции....74 Контекст....75 Прототипное наследование....77 Асинхронное выполнение кода....79 Программный интерфейс DOM браузера....82 Фреймворки для SPA....84 Системы аутентификации и авторизации....85 Аутентификация....86 Авторизация....86 Веб-серверы....87 Базы данных на стороне сервера....88 Хранение данных на стороне клиента....89 GraphQL....91 Системы управления версиями....92 Сети доставки контента и кэширование....94 Резюме....96 Глава 4. Поиск субдоменов....97 Множество приложений в рамках одного домена....97 Встроенные в браузер инструменты анализа....98 Общедоступная информация....101 Кэши поисковых систем....101 Поиск в архиве....104 Социальные профили....105 Атаки на передачу зоны....109 Брутфорс субдоменов....111 Перебор по словарю....116 Резюме....118 Глава 5. Анализ API....119 Обнаружение конечной точки....119 Механизмы аутентификации....123 Разновидности конечных точек....124 Основные разновидности....125 Специализированные разновидности....126 Резюме....127 Глава 6. Обнаружение сторонних зависимостей....128 Клиентские фреймворки....128 Фреймворки для одностраничных приложений....129 Библиотеки JavaScript....131 Библиотеки CSS....132 Фреймворки на стороне сервера....133 Заголовки....133 Стандартные сообщения об ошибке и страницы 404....134 Базы данных....136 Резюме....138 Глава 7. Поиск слабых мест в архитектуре приложения....139 Признаки безопасной и небезопасной архитектуры....140 Уровни безопасности....144 Заимствование и перекрой....145 Резюме....147 Глава 8. Итоги части I....148 Часть II. Нападение....149 Глава 9. Введение во взлом веб-приложений....151 Мышление хакера....151 Применение данных, полученных в процессе разведки....152 Глава 10. Межсайтовый скриптинг....154 Обнаружение XSS-уязвимости....154 Хранимый XSS....158 Отраженный XSS....159 XSS-атака на базе DOM....162 XSS с мутациями....164 Обход фильтров....166 Самозакрывающиеся теги HTML....167 Относительные URL без протокола....167 Некорректные теги....168 Экранированные последовательности....168 Многоязычные полезные нагрузки....169 Приемники и источники XSS....170 Резюме....172 Глава 11. Подделка межсайтовых запросов....173 Подделка параметров запроса....173 Изменение содержимого запроса GET....178 CSRF-атака на конечные точки POST....179 Обход защиты CSRF....181 Проверка заголовков....181 Пулы токенов....181 Слабые токены....182 Типы контента....182 Обход фильтров из регулярных выражений....183 iframe....184 AJAX....184 Формы нулевого взаимодействия....184 Резюме....185 Глава 12. Атака на внешние сущности XML....186 Основы XXE....186 Атака напрямую....187 Непрямая XXE-атака....190 Внеполосная утечка данных....192 Захват учетной записи....193 Получение данных о пользователе....193 Получение хешей паролей....194 Взлом хешей паролей....195 Удаленный вход по SSH....195 Резюме....196 Глава 13. Внедрение кода....197 Внедрение SQL-кода....197 Внедрение кода....201 Внедрение команд....205 Приемы внедрения для эксфильтрации данных....208 Основы эксфильтрации данных....208 Внутриполосная эксфильтрация данных....209 Внеполосная эксфильтрация данных....209 Логическая эксфильтрация данных....210 Обход общей защиты....211 Резюме....212 Глава 14. Отказ в обслуживании....213 ReDoS-атака....214 Логические DoS-уязвимости....217 Распределенная DoS-атака....220 Продвинутые DoS-атаки....221 Атаки YoYo....221 Атака на функции сжатия....221 DoS-атаки проксированием....222 Резюме....223 Глава 15. Атаки на данные и объекты....224 Массовое присваивание....224 Небезопасная прямая ссылка на объект....226 Атаки сериализации....227 Основы сериализации....227 Атака на слабую сериализацию....228 Резюме....229 Глава 16. Атаки на стороне клиента....230 Атаки на клиента в браузере....230 Атаки, нацеленные на клиента....231 Атаки, характерные для клиента....231 Достоинства атак на стороне клиента....231 Атаки загрязнения прототипа....232 Основы загрязнения прототипа....232 Атака загрязнением прототипа....235 Архетипы загрязнения прототипов....236 Кликджекинг....237 Эксплуатация камеры и микрофона....237 Создание эксплойтов для кликджекинга....238 Табнаббинг и обратный табнаббинг....239 Традиционный табнаббинг....239 Обратный табнаббинг....240 Резюме....242 Глава 17. Эксплуатация сторонних зависимостей....243 Методы интеграции....245 Ветви и вилки....245 Приложения с собственным сервером....246 Интеграция на уровне кода....247 Диспетчеры пакетов....248 JavaScript....248 Java....250 Другие языки....251 База данных общеизвестных уязвимостей....252 Резюме....254 Глава 18. Уязвимости в бизнес-логике....255 Уязвимости нестандартных математических вычислений....256 Побочные эффекты....257 Безналичные атаки....259 Уязвимости стандартов и соглашений....261 Эксплуатация уязвимостей бизнес-логики....263 Резюме....264 Глава 19. Итоги части II....265 Часть III. Защита....267 Глава 20. Защита современных веб-приложений....268 Архитектура защищенного ПО....269 Глубокий анализ кода....269 Поиск уязвимости....270 Анализ уязвимости....271 Управление уязвимостями....271 Регрессионное тестирование....272 Меры по снижению риска....272 Прикладные техники разведки и нападения....273 Резюме....273 Глава 21. Безопасная архитектура приложений....274 Анализ требований к ПО....274 Аутентификация и авторизация....276 Протоколы SSL и TLS....276 Защита учетных данных....277 Хеширование учетных данных....278 Многофакторная аутентификация....280 Личные данные и финансовая информация....282 Поиск....282 Архитектура нулевого доверия....283 История философии нулевого доверия....284 Явное и неявное доверие....284 Аутентификация и авторизация....285 Резюме....285 Глава 22. Безопасная конфигурация приложений....287 Политика безопасности контента....287 Реализация CSP....288 Структура CSP....288 Важные директивы....288 Источники CSP и списки источников....289 Строгая политика CSP....290 Пример политики CSP....291 Совместное использование ресурсов разными источниками....291 Типы запросов CORS....292 Простые запросы CORS....292 Предварительные запросы CORS....293 Реализация CORS....293 Заголовки....294 Строгая транспортная безопасность....294 Политика доступа к окнам, открытым разными источниками (COOP)....295 Политика доступа для ресурсов из разных источников (CORP)....296 Заголовки, влияющие на безопасность....297 Устаревшие заголовки безопасности....297 Файлы cookie....298 Создание и защита файлов cookie....298 Тестирование файлов cookie....300 Создание изолированного окружения....300 Традиционный метод с фреймами iframe....301 Web Workers....302 Целостность подресурса....302 Shadow Realms....303 Резюме....304 Глава 23. Безопасность пользовательского интерфейса....305 Раскрытие и перечисление информации....305 Раскрытие информации....306 Перечисление....308 Рекомендации по безопасности пользовательского интерфейса....310 Резюме....312 Глава 24. Моделирование угроз....313 Проектирование модели угроз....313 Пример моделирования угроз....314 Логическое описание....314 Техническое описание....315 Определение угроз (субъекты угроз)....318 Определение угроз (векторы атак)....319 Определение реализованных мер по смягчению последствий....322 Определение рисков без реализованных мер противодействия....322 Резюме....325 Глава 25. Проверка безопасности кода....326 Начало проверки....327 Основные типы уязвимостей и пользовательские логические ошибки....328 С чего начать проверку безопасности....330 Антипаттерны безопасного программирования....332 Черные списки....332 Шаблонный код....334 Доверие по умолчанию....334 Разделение клиента и сервера....335 Резюме....335 Глава 26. Обнаружение уязвимостей....337 Автоматизированная проверка....337 Статический анализ....338 Динамический анализ....339 Регрессионное тестирование....340 Программы ответственного раскрытия информации....343 Программы вознаграждения за обнаружение ошибок....344 Сторонние пентестеры....345 Резюме....346 Глава 27. Управление уязвимостями....347 Воспроизведение уязвимостей....347 Классификация уязвимостей....348 Общая система оценки уязвимостей....348 CVSS. Базовая метрика....349 CVSS. Временная метрика....352 CVSS. Контекстная метрика....353 Усовершенствованная классификация уязвимостей....355 Что делать потом....355 Резюме....356 Глава 28. Противодействие XSS-атакам....357 Приемы написания кода для противодействия XSS....357 Очистка пользовательского ввода....359 Приемник DOMParser....360 Приемник SVG....361 Приемник Blob....361 Санация гиперссылок....362 Символьные сущности в HTML....363 CSS XSS....364 Политика защиты контента для предотвращения XSS....365 Директива script-src....365 Ключевые слова unsafe-eval и unsafe-inline....366 Внедрение CSP....367 Резюме....368 Глава 29. Защита от CSRF....369 Проверка заголовков....369 CSRF-токен....371 CSRF-токены без сохранения состояния....372 Противодействие CRSF на уровне кода....372 Запросы GET без сохранения состояния....373 Снижение риска CSRF на уровне приложения....374 Резюме....376 Глава 30. Защита от XXE-атак....377 Оценка других форматов данных....377 Дополнительные риски, связанные с XXE....379 Резюме....379 Глава 31. Противодействие внедрению....380 Противодействие внедрению SQL-кода....380 Распознавание внедрения SQL-кода....381 Параметризованные запросы....382 Более специфические методы защиты....384 Защита от других видов внедрения....384 Потенциальные цели внедрения....385 Принцип минимальных привилегий....385 Белый список команд....386 Резюме....388 Глава 32. Противодействие DoS-атакам....389 Противодействие атакам ReDoS....389 Защита от логических DoS-атак....390 Защита от DDoS....391 Резюме....393 Глава 33. Защита данных и объектов....394 Защита от массового присваивания....394 Проверка и белый список....395 Объекты передачи данных....395 Защита от IDOR....395 Защита от атак на сериализацию....396 Резюме....396 Глава 34. Защита от атак на стороне клиента....397 Защита от загрязнения прототипов....397 Санация ключей....397 Замораживание прототипа....399 Пустые прототипы....399 Защита от кликджекинга....400 Директива frame-ancestors....400 Антифрейминг....401 Защита от табнаббинга....402 Политика доступа к окнам, открытым разными источниками....402 Блокировка ссылок....402 Политики изоляции....403 Резюме....405 Глава 35. Защита сторонних зависимостей....406 Оценка дерева зависимостей....406 Моделирование дерева зависимости....407 Деревья зависимостей на практике....407 Автоматизированная оценка....408 Техники безопасной интеграции....408 Разделение интересов....408 Безопасное управление пакетами....409 Резюме....410 Глава 36. Устранение уязвимостей в бизнес-логике....411 Устранение уязвимостей на уровне архитектуры....411 Статистическое моделирование....413 Моделирование входных данных....413 Моделирование действий....414 Разработка модели....414 Анализ модели....416 Резюме....416 Глава 37. Итоги части III....417 Заключение....418 История безопасности программного обеспечения....418 Разведка....420 Нападение....421 Защита....424 Что дальше....428 Об авторе....429 Иллюстрация на обложке....430