幫助中心 | 我的帳號 | 關於我們
進階搜尋
car

同類熱銷排行榜

最近瀏覽的商品

API攻防(Web API安全指南)

  • 作者：(美)科里·鮑爾|責編:單瑞婷|譯者:皇智遠//孔韜循
  • 出版社：人民郵電
  • ISBN：9787115652751
  • 出版日期：2024/12/01
  • 裝幀：平裝
  • 頁數：339
人民幣：RMB 109.8 元      售價：元
放入購物車
加入收藏夾
內容大鋼
    本書旨在打造一本Web API安全的實用指南，全面介紹Web API的攻擊方法和防禦策略。
    本書分為4個部分，共16章。第一部分從API滲透測試的基礎理論入手，探討Web應用程序的基礎知識、Web API攻防的基本原理和常見的API漏洞。第二部分帶領讀者搭建自己的API測試實驗室，結合2個實驗案例，指導讀者找到脆弱的API目標。第三部分通過偵察、端點分析、攻擊身份驗證、模糊測試、利用授權漏洞、批量分配、注入這7章，幫助讀者了解API攻擊的過程和方法，結合7個實驗案例，幫助讀者進行API測試。第四部分介紹3個真實的API攻防案例，旨在針對性地找到提高API安全性的具體策略和方案。
    本書可為初學者提供API及其漏洞的全面介紹，也可為安全從業人員提供高級工具和技術見解。
作者介紹
(美)科里·鮑爾|責編:單瑞婷|譯者:皇智遠//孔韜循
目錄
第一部分  Web API安全的原理
  第0章  為安全測試做準備
    0.1  獲得授權
    0.2  API測試的威脅建模
    0.3  應該測試哪些API特性
      0.3.1  API認證測試
      0.3.2  Web應用程序防火牆
      0.3.3  移動應用測試
      0.3.4  審計API文檔
      0.3.5  速率限制測試
    0.4  限制和排除
      0.4.1  安全測試雲API
      0.4.2  DoS測試
    0.5  報告和修複測試
    0.6  關於漏洞賞金範圍的說明
    0.7  小結
  第1章  Web應用程序是如何運行的
    1.1  Web應用程序基礎
      1.1.1  URL
      1.1.2  HTTP請求
      1.1.3  HTTP響應
      1.1.4  HTTP狀態碼
      1.1.5  HTTP請求方法
      1.1.6  有狀態和無狀態的HTTP
    1.2  Web伺服器資料庫
      1.2.1  SQL
      1.2.2  NoSQL
    1.3  API如何融入整體架構
    1.4  小結
  第2章  Web API的原子論
    2.1  Web API的工作原理
    2.2  Web API的標準類型
      2.2.1  RESTful API
      2.2.2  GraphQL
    2.3  REST API規範
    2.4  API數據交換格式
      2.4.1  JSON
      2.4.2  XML
      2.4.3  YAML
    2.5  API身份驗證
      2.5.1  基本身份驗證
      2.5.2  API密鑰
      2.5.3  JSON Web Token
      2.5.4  HMAC
      2.5.5  OAuth 2
      2.5.6  無身份驗證
    2.6  實操API：探索Twitter的API
    2.7  小結
  第3章  常見的API漏洞
    3.1  信息泄露

    3.2  對象級授權缺陷
    3.3  用戶身份驗證缺陷
    3.4  過度數據暴露
    3.5  資源缺乏和速率限制
    3.6  功能級授權缺陷
    3.7  批量分配
    3.8  安全配置錯誤
    3.9  注入
    3.10  不當的資產管理
    3.11  業務邏輯漏洞
    3.12  小結
第二部分  搭建API測試實驗室
  第4章  API黑客系統
    4.1  Kali Linux
    4.2  使用DevTools分析Web應用程序
    4.3  使用Burp Suite捕獲並修改請求
      4.3.1  設置FoxyProxy
      4.3.2  添加Burp Suite證書
      4.3.3  Burp Suite導航
      4.3.4  攔截流量
      4.3.5  使用Intruder更改請求
    4.4  在Postman中編寫API請求
      4.4.1  請求構建器
      4.4.2  環境變數
      4.4.3  集合
      4.4.4  集合運行器
      4.4.5  代碼片段
      4.4.6  測試面板
    4.5  配置Postman
    4.6  補充工具
      4.6.1  使用OWASP Amass進行偵察
      4.6.2  使用Kiterunner發現API端點
      4.6.3  使用nikto掃描漏洞
      4.6.4  使用OWASP ZAP掃描漏洞
      4.6.5  使用Wfuzz進行模糊測試
      4.6.6  使用Arjun發現HTTP參數
    4.7  小結
    實驗1：在REST API中枚舉用戶賬戶
  第5章  設定有API漏洞的目標
    5.1  創建一個Linux主機
    5.2  安裝Docker和Docker Compose
    5.3  安裝易受攻擊的應用程序
      5.3.1  completely ridiculous API（crAPI）
      5.3.2  OWASP DevSlop的Pixi
      5.3.3  OWASP Juice Shop
      5.3.4  DVGA
    5.4  添加其他易受攻擊的應用
    5.5  在TryHackMe和HackTheBox上測試API
    5.6  小結
    實驗2：查找易受攻擊的API

第三部分  攻擊API
  第6章  偵察
    6.1  被動偵察
      6.1.1  被動偵察流程
      6.1.2  Google Hacking
      6.1.3  ProgrammableWeb的API搜索目錄
      6.1.4  Shodan
      6.1.5  OWASP Amass
      6.1.6  GitHub上的信息泄露
    6.2  主動偵察
      6.2.1  主動偵察過程
      6.2.2  使用Nmap進行基線掃描
      6.2.3  在Robots.txt文件中查找隱藏路徑
      6.2.4  使用Chrome DevTools查找敏感信息
      6.2.5  使用Burp Suite驗證API
      6.2.6  使用OWASP ZAP爬取URI
      6.2.7  使用Gobuster對URI進行暴力破解
      6.2.8  使用Kiterunner發現API內容
    6.3  小結
    實驗3：為黑盒測試執行主動偵察
  第7章  端點分析
    7.1  尋找請求信息
      7.1.1  在文檔中查找信息
      7.1.2  導入API規範
      7.1.3  逆向工程API
    7.2  在Postman中添加API身份驗證要求
    7.3  分析功能
      7.3.1  測試預期用途
      7.3.2  執行特權操作
      7.3.3  分析API響應
    7.4  發現信息泄露
    7.5  發現安全配置錯誤
      7.5.1  冗長的錯誤消息
      7.5.2  不良的傳輸加密
      7.5.3  問題配置
    7.6  發現過度數據暴露
    7.7  發現業務邏輯漏洞
    7.8  小結
    實驗4：構建crAPI集合併發現過度的數據暴露
  第8章  攻擊身份驗證
    8.1  經典身份驗證攻擊
      8.1.1  暴力破解攻擊
      8.1.2  密碼重置和多因素身份驗證暴力破解攻擊
      8.1.3  密碼噴灑
      8.1.4  將Base64身份驗證包含在暴力破解攻擊中
    8.2  偽造令牌
      8.2.1  手動載入分析
      8.2.2  實時令牌捕獲分析
      8.2.3  暴力破解可預測的令牌
    8.3  JSON Web Token濫用

      8.3.1  識別和分析JWT
      8.3.2  無演算法攻擊
      8.3.3  演算法切換攻擊
      8.3.4  JWT破解攻擊
    8.4  小結
    實驗5：破解crAPI JWT簽名
  第9章  模糊測試
    9.1  有效的模糊測試
      9.1.1  選擇模糊測試的有效負載
      9.1.2  檢測異常
    9.2  廣泛模糊測試與深入模糊測試
      9.2.1  使用Postman進行廣泛模糊測試
      9.2.2  使用Burp Suite進行深入模糊測試
      9.2.3  使用Wfuzz進行深入模糊測試
      9.2.4  對資產管理不當進行廣泛模糊測試
    9.3  使用Wfuzz測試請求方法
    9.4  進行深入的模糊測試以繞過輸入過濾
    9.5  用於目錄遍歷的模糊測試
    9.6  小結
    實驗6：對不當的資產管理漏洞進行模糊測試
  第10章  利用授權漏洞
    10.1  發現BOLA
      10.1.1  定位資源ID
      10.1.2  用於BOLA的A-B測試
      10.1.3  BOLA側通道攻擊
    10.2  發現BFLA
      10.2.1  用於BFLA的A-B-A測試
      10.2.2  在Postman中測試BFLA
    10.3  授權漏洞挖掘技巧
      10.3.1  Postman的集合變數
      10.3.2  Burp Suite的匹配與替換
    10.4  小結
    實驗7：查找另一個用戶的車輛位置
  第11章  批量分配
    11.1  查找批量分配目標
      11.1.1  賬戶註冊
      11.1.2  未經授權訪問組織
    11.2  查找批量分配變數
      11.2.1  在文檔中找到變數
      11.2.2  對未知變數進行模糊測試
      11.2.3  盲批量賦值攻擊
    11.3  使用Arjun和Burp Suite Intruder自動化批量分配攻擊
    11.4  結合使用BFLA和批量分配
    11.5  小結
    實驗8：更改在線商店中商品的價格
  第12章  注入
    12.1  發現注入漏洞
    12.2  XSS攻擊
    12.3  XAS攻擊
    12.4  SQL注入

      12.4.1  手動提交元字元
      12.4.2  SQLmap
    12.5  NoSQL注入
    12.6  操作系統命令注入
    12.7  小結
    實驗9：使用NoSQL注入偽造優惠券
第四部分  真實世界的API攻擊
  第13章  應用規避技術和速率限制測試
    13.1  規避API安全控制
      13.1.1  安全控制的工作原理
      13.1.2  API安全控制檢測
      13.1.3  使用一次性賬戶
      13.1.4  規避技術
      13.1.5  使用Burp Suite自動繞過
      13.1.6  使用Wfuzz自動繞過
    13.2  測試速率限制
      13.2.1  關於寬鬆速率限制的說明
      13.2.2  路徑繞過
      13.2.3  源標頭欺騙
      13.2.4  在Burp Suite中輪換IP地址
    13.3  小結
  第14章  攻擊GraphQL
    14.1  GraphQL請求和集成開發環境
    14.2  主動偵察
      14.2.1  掃描
      14.2.2  在瀏覽器中查看DVGA
      14.2.3  使用DevTools
    14.3  逆向工程GraphQL API
      14.3.1  目錄暴力破解以獲取GraphQL端點
      14.3.2  Cookie篡改以啟用GraphiQL IDE
      14.3.3  逆向工程GraphQL請求
      14.3.4  使用內省逆向工程GraphQL集合
    14.4  GraphQL API分析
      14.4.1  使用GraphiQL Documentation Explorer編寫請求
      14.4.2  使用InQL Burp擴展
    14.5  用於命令注入的模糊測試
    14.6  小結
  第15章  數據泄露和漏洞賞金
    15.1  數據泄露
      15.1.1  Peloton
      15.1.2  USPS通知可見性API
      15.1.3  T-Mobile API泄露
    15.2  漏洞賞金
      15.2.1  優質API密鑰的價格
      15.2.2  私有API授權問題
      15.2.3  星巴克：從未發生的數據泄露
      15.2.4  Instagram的GraphQL BOLA
    15.3  小結
附錄  API黑客攻擊檢查清單
後記

  • 商品搜索：
  • | 高級搜索
首頁│ 新手上路│ 客服中心│ 關於我們│ 聯絡我們│ Top↑│
Copyrightc 1999~2008 美商天龍國際圖書股份有限公司 臺灣分公司. All rights reserved.
營業地址:臺北市中正區重慶南路一段103號1F 105號1F-2F
讀者服務部電話：02-2381-2033 02-2381-1863　時間：週一-週五 10:00-17:00
　服務信箱：bookuu@69book.com 客戶、意見信箱:cs@69book.com
ICP證：浙B2-20060032