拒絕黑客：ASP.NET Web應用程序安全性剖析

　　這是一本為脆弱的ASP．NET Web應用程序提供完美解決方案的書。不僅講解了ASP．NET Web應用程序可能受到的各種威脅，而且提供了理想的解決方案。對于重要的安全技術，還提供了典型的案例，并穿插了實用技巧。本書的最大特點是其務實性，即先提出問題（安全威脅），再有針對性地給出解決方案（安全技術），并對各種可能性進行提綱挈領式的總結。本書內容快覽·管理用戶·訪問數(shù)據(jù)·驗證和授權用戶·開發(fā)安全的ASP．NET應用程序·管理會話·保護XML·加密私有數(shù)據(jù)·附錄A：理解．NET安全·對用戶輸入的過濾·附錄B：Web應用程序安全威脅術語表本書詳細介紹了ASP.NET Web應用程序面對的各種威脅和攻擊，并有針對性地提供了完美解決方案。運用本書介紹的安全技術基本上可以抵御到目前為止出現(xiàn)的各種黑客攻擊，如賬號劫持、社會工程、跨站點腳本、暴力攻擊等。 對于ASP.NET Web程序開發(fā)人員而言，本書可謂是一本非常實用的參考書，同時也知適合網(wǎng)絡管理員參考學習。譯者序 對于Web應用程序來說， 若安全措施脆弱， 或存在潛在的安全漏洞， 無異于敞開大門不設防的銀行， 對于用戶來說， 在不安全的網(wǎng)站上輸入用戶名和密碼， 實際上使自己的隱私置入危險之中， 對于黑客來說， 各種安全隱患則成為他們的有力攻擊目標. 隨著網(wǎng)絡應用的進一步深入， 網(wǎng)絡安全的重要性也日益凸現(xiàn). 有人將各種網(wǎng)絡攻擊比做"洪水猛獸"也毫不為過. 抵御這種"洪水猛獸"的根本途徑是堵塞各種安全漏洞， 構筑堅固的Web應用程序. 本書正是這樣一本為脆弱的ASP. NET Web應用程序提供完美解決方案的參考書籍. 本書講解了ASP. NET Web應用程序可能受到的各種威脅， 并提供了理想的解決方案. 對于重要的安全技術， 本書還提供了典型的案例. 本書的最大特點是其務實性， 即先提出問題（安全威脅）， 再有針對性地給出解決方案（安全技術）， 并對各種可能性進行提綱挈領式的總結. 當然， 黑客技術與安全技術永遠是"攻"與"防"的兩個對立面， 它們的技術也在不斷地發(fā)展. 即使充分運用了本書介紹的安全技術， 也不可能一勞永逸， 因為攻擊技術無時無刻不在更新. 何況， 應用程序在升級過程中， 由于種種原因， 也可能引入新的攻擊點， 無形中擴大了攻擊面. 因此， 閱讀此書時， 我們要理解其精髓， 在安全維護中做到舉一反三. 由于譯者水平有限， 且時間倉促， 錯誤在所難免， 希望廣大讀者不吝指正. 我的E-mail地址是：web_zhou@21cn. com. 譯者 Mark Burnett（微軟MVP）他是一位獨立安全顧問和自由作家， 也是一位基于Windows的IIS Web服務器的安全專家. Mark是MaximumWindowsSecurity一書的合作者， 也是Stealing the Network：How to Own the Box（Syngress Publishing， 1-9311836-87-6）和Dr. Tom Shinder‘s ISA Server and Beyond：Real World SecuritySolutions for Microsoft Enterprise Networks（Syngress Publishing， ISBN：1-931836-66-3）撰稿人之一. 他是Syngress出版社Special Ops：Host and Network Security for Microsoft， UNIX，and Oracle（ISBN：1-931836-69-8）一書的撰稿人和技術編輯. Mark曾在多次安全會議上發(fā)表演講， 并在Windows &. NEI：Information Security，Windows Web Solutions， Security Administrator雜志上發(fā)表多篇技術文章， 還經常給SecurityFoucs. com投稿. Mark還在自己的Web站點IISSecurity.info上發(fā)表語文章. 第1章管理用戶 1.1引言 1.1.1理解威脅 1.2建立用戶證書 1.2.1實施強密碼 1.2.2避免使用易于猜測的證書 1.2.3防止證書獲取 1.2.4限制空閑的賬戶 1.3管理密碼 1.3.1存儲密碼 1.3.2密碼時效和歷史記錄 1.3.3改變密碼 1.4重新設置丟失或被遺忘的密碼 1.4.1重新設置密碼 1.4.2通過電子郵件發(fā)送信息 1.4.3分配臨時密碼 1.4.4使用秘密問題 1.5授權用戶 1.5.1教育用戶 1.5.2證用戶置身其中 1.6編碼標準快速參考 1.6.1建立用戶證書 1.6.2管理密碼 1.6.3重新設置丟失或被遺忘的密碼 1.6.4授權用戶 1.7代碼審查快速參考 1.7.1建立用戶證書 1.7.2管理密碼 1.7.3重新設置丟失或被遺忘的密碼 1.7.4授權用戶 1.8常見問題 第2章驗證和授權用戶 2.1引言 2.1.1理解威脅 2.2驗證用戶 2.2.1構建登錄表單 2.2.2使用表單驗證 2.2.3使用Windows驗證 2.2.4使用Passport驗證 2.2.5阻塞暴力攻擊 2.3授權用戶 2.3.1決定如何授權 2.3.2使用文件授權 2.3.3應用URL授權 2.3.4通過代碼授權用戶 2.4編碼標準快速參考 2.4.1驗證用戶 2.4.2授權用戶 2.5代碼審查快速參考 2.5.1驗證用戶 2.5.2授權用戶 2.6常見問題 第3章管理會話 3.1引言 3.1.1會話標記 3.1.2驗證標記 3.1.3理解威脅 3.2維持狀態(tài) 3.2.1設計安全標記 3.2.2選擇標記機制 3.2.3使用狀態(tài)提供器 3.3使用ASP.NET標記 3.3.1使用cookie 3.3.2使用視圖狀態(tài) 3.4ASP.NET狀態(tài)管理 3.4.1創(chuàng)建標記 3.4.2終止會話 3.5編碼標準快速參考 3.5.1維持狀態(tài) 3.5.2使用ASP.NET標態(tài) 3.5.3增強ASP.NET狀態(tài)管理 3.6代碼審查快速參考 3.6.1維持狀態(tài) 3.6.2使用ASP.NET標記 3.6.3增強ASP.NET狀態(tài)管理 3.7常見問題 第4章加密私有數(shù)據(jù) 4.1引言 4.2使用ASP.NET中的加密技術 4.2.1使用對稱加密技術 4.2.2使用非對稱加密技術 4.2.3使用哈希算法 4.3利用.NET加密特性 4.3.1創(chuàng)建隨機數(shù) 4.3.2保持內存清潔 4.3.3保護機密內容 4.4使用SSL保護通信 4.5編碼標準快速參考 4.5.1在ASP.NET中使用加密技術 4.5.2利用.NET加密特性 4.6代碼審查快速參考 4.6.1在ASP.NET中使用加密技術 4.6.2利用.NET加密特性 4.7常見問題 第5章過濾用戶輸入 5.1引言 5.2惡意輸入處理 5.2.1識別輸入源 5.2.2防御性編程 5.3輸入約束 5.3.1邊界檢查 5.3.2模式匹配 5.3.3數(shù)據(jù)映射 5.3.4數(shù)據(jù)編碼 5.3.5封裝 5.3.6參數(shù)化 5.3.7雙重解碼 5.3.8語法檢查 5.3.9異常處理 5.3.10HoneyDrop 5.4限制惡意輸入下的暴露 5.4.1減少攻擊面 5.4.2限制攻擊范圍 5.4.3堅固服務器應用程序 5.5編碼標準快速參考 5.5.1處理惡意輸入 5.5.2約束輸入 5.5.3限制惡意輸入下的暴露 5.6代碼審查快速參考 5.6.1處理惡意輸入 5.6.2約束輸入 5.6.3限制惡意輸入下的暴露 5.7常見問題 第6章訪問數(shù)據(jù) 6.1引言 6.2保護數(shù)據(jù)庫 6.2.1保護數(shù)據(jù)庫位置 6.2.2限制攻擊面 6.2.3保證最小特權 6.2.4保護數(shù)據(jù)庫 6.3編寫安全的數(shù)據(jù)訪問代碼 6.3.1連接數(shù)據(jù)源 6.3.2阻止SQL注入 6.3.3編寫安全SQL代碼 6.3.4讀寫數(shù)據(jù)文件 6.4編碼標準快速參考 6.4.1保護數(shù)據(jù)庫驅動程序 6.4.2保護數(shù)據(jù)庫 6.4.3編寫安全的數(shù)據(jù)訪問代碼 6.5代碼審查快速參考 6.5.1保護數(shù)據(jù)庫驅動程序 6.5.2保護數(shù)據(jù)庫 6.5.3編寫安全的數(shù)據(jù)訪問代碼 6.6常見問題 第7章開發(fā)安全的ASP.NET應用程序 7.1引言 7.1.1理解威脅 7.2編寫安全的HTML 7.2.1構造安全的HTML 7.2.2阻止信息匯漏 7.3處理異常 7.3.1使用結構化錯誤處理 7.3.2報告和記錄錯誤 7.4編碼標準快速參考 7.4.1編寫安全的HTML 7.4.2處理異常 7.5代碼審查快速參考 7.5.1編寫安全的HTML 7.5.2處理異常 7.6常見問題 第8章保護XML 8.1引言 8.2應用XML加密 8.2.1加密XML數(shù)據(jù) 8.3應用XML數(shù)字簽名 8.3.1XML數(shù)據(jù)簽名 8.4編碼標準快速參考 8.4.1應用XML加密 8.4.2應用XML數(shù)字簽名 8.5代碼審查快速參考 8.5.1應用XML加密 8.5.2應用XML數(shù)字簽名 8.6常見問題 附錄A理解.NET安全 附錄BWeb應用程序安全威脅術語表

　　Mark Burnett（微軟MVP）他是一位獨立安全顧問和自由作家，也是一位基于Windows的IIS Web服務器的安全專家。Mark是Maximum Windows Security一書的合作者，也是Stealing the Network；How to Own the Box撰稿人之一。他是Syngress出版社Special Ops：Host and Network Security for Microsoft，UNIX，and Oracle一書的撰稿人和技術編輯。Mark曾在多次安全會議上發(fā)表演講，并在Windows & .NET，Information Security，windows Web Solutions，Security Administrator雜志上發(fā)表多篇技術文章，還經常給SecurityFoucs.com投稿。Mark還在自己的Web站點IISSecurity.info上發(fā)表文章。