123,123

內(nèi)容簡(jiǎn)介

　　本書采用理論與案例相結(jié)合的形式，全面講解傳統(tǒng)網(wǎng)絡(luò)安全競(jìng)賽CTF解題賽中五大類重點(diǎn)知識(shí)和技能。全書共17章，其中第1~3章為第1篇Web安全，從原理層面講解了常見的PHP相關(guān)安全問題，以及文件上傳漏洞、文件包含漏洞、命令執(zhí)行漏洞、SQL注入漏洞、SSRF漏洞等常見Web漏洞的原理與利用；第4~6章為第2篇Crypto密碼，主要介紹了密碼學(xué)基礎(chǔ)、常見編碼、古典密碼學(xué)和現(xiàn)代密碼學(xué)等相關(guān)內(nèi)容；第7~10章為第3篇MISC安全，主要介紹了隱寫術(shù)、壓縮包分析、流量分析和取證分析等相關(guān)內(nèi)容；第11~13章為第4篇Reverse逆向工程，主要介紹了逆向工程基本概念、計(jì)算機(jī)相關(guān)原理、逆向相關(guān)基礎(chǔ)、常規(guī)逆向分析思路、反調(diào)試對(duì)抗技術(shù)等內(nèi)容；第14~17章為第5篇PWN，主要介紹了基礎(chǔ)環(huán)境準(zhǔn)備、棧溢出、堆溢出等漏洞的原理與利用。本書所有案例都配有相關(guān)實(shí)踐內(nèi)容，能夠更有效地幫助讀者進(jìn)一步理解相關(guān)技能。本書旨在幫助讀者相對(duì)快速且完整地構(gòu)建一個(gè)CTF實(shí)戰(zhàn)所需的基礎(chǔ)知識(shí)框架，并通過案例學(xué)習(xí)相關(guān)技能，完成從入門到提升，適合所有網(wǎng)絡(luò)安全愛好者及從業(yè)者參考閱讀，也可作為高等院校網(wǎng)絡(luò)安全相關(guān)實(shí)踐課程的參考用書。

作者簡(jiǎn)介

　　1. 苗春雨，博士，杭州安恒信息技術(shù)股份有限公司高級(jí)副總裁。中國(guó)網(wǎng)絡(luò)空間安全人才教育聯(lián)盟專委人才標(biāo)準(zhǔn)組副組長(zhǎng)，中國(guó)工業(yè)信息安全產(chǎn)業(yè)發(fā)展聯(lián)盟人才促進(jìn)組副組長(zhǎng)，中國(guó)網(wǎng)絡(luò)安全審查技術(shù)及認(rèn)證中心專家講師，安恒信息博士后工作站博士后企業(yè)導(dǎo)師，中國(guó)科學(xué)技術(shù)大學(xué)、西安電子科技大學(xué)等多所高校客座教授/碩士企業(yè)研究生導(dǎo)師，浙大-安恒Arclab聯(lián)合創(chuàng)新研究中心主任。擅長(zhǎng)網(wǎng)絡(luò)安全防護(hù)體系、物聯(lián)網(wǎng)安全，主持和參與國(guó)際級(jí)/省部級(jí)科研項(xiàng)目6項(xiàng)，主編教材和專著8本，主導(dǎo)開發(fā)5款網(wǎng)絡(luò)安全演訓(xùn)產(chǎn)品，獲得發(fā)明專利和軟件著作權(quán)30余項(xiàng)，發(fā)表學(xué)術(shù)論文50余篇。榮獲中國(guó)產(chǎn)學(xué)合作促進(jìn)會(huì)產(chǎn)學(xué)合作創(chuàng)新獎(jiǎng)、網(wǎng)絡(luò)空間安全教指委產(chǎn)學(xué)合作優(yōu)秀案例一等獎(jiǎng)、新安盟金石工匠獎(jiǎng)等多個(gè)獎(jiǎng)項(xiàng)。2. 葉雷鵬，安恒信息教研院教研部經(jīng)理，恒星實(shí)驗(yàn)室負(fù)責(zé)人。全國(guó)優(yōu)秀共青團(tuán)員，新時(shí)代浙江工匠，浙江省技術(shù)能手，浙江省青年崗位能手，杭州市葉雷鵬網(wǎng)絡(luò)與信息安全管理員技能大師工作室領(lǐng)銜人。曾受邀參與國(guó)家一、二類職業(yè)技能競(jìng)賽命題工作，并多次帶隊(duì)參與各級(jí)攻防演練、競(jìng)賽，并取得優(yōu)異成績(jī)。3.趙今，安恒信息安全研究專家，恒星實(shí)驗(yàn)室核心成員。主攻代碼審計(jì)和云安全方向，負(fù)責(zé)信息安全競(jìng)賽相關(guān)賽題輸出及培訓(xùn)內(nèi)容輸出。擁有多項(xiàng)安全證書，包括OSCE3、OSCP、OSWE、OSEP等。曾參與多項(xiàng)網(wǎng)絡(luò)安全競(jìng)賽并獲得多個(gè)獎(jiǎng)項(xiàng)，包括第五空間網(wǎng)絡(luò)空間大賽、字節(jié)跳動(dòng)ByteCTF、縱橫杯等比賽的冠軍。4. 楊鑫順，安恒信息資深安全研究工程師，恒星實(shí)驗(yàn)室核心成員。致力于軟件安全研究與漏洞挖掘。挖掘過操作系統(tǒng)、物聯(lián)網(wǎng)設(shè)備等高危漏洞，曾參與強(qiáng)網(wǎng)杯、網(wǎng)鼎杯等網(wǎng)絡(luò)安全技能競(jìng)賽，并獲得優(yōu)異成績(jī)。5. 金祥成，安恒信息高級(jí)安全培訓(xùn)工程師，恒星實(shí)驗(yàn)室核心成員。深入研究軟件安全、移動(dòng)App安全等二進(jìn)制領(lǐng)域方向，擁有豐富的教學(xué)經(jīng)驗(yàn)與實(shí)戰(zhàn)經(jīng)驗(yàn)。曾參與西湖論劍網(wǎng)絡(luò)安全賽事的支撐與命題，多次參加、省級(jí)網(wǎng)絡(luò)安全相關(guān)競(jìng)賽，并多次獲獎(jiǎng)。

圖書目錄

第1篇 Web安全
第1章 Web安全基礎(chǔ)知識(shí)
1.1 Web應(yīng)用體系結(jié)構(gòu)/
1.1.1 Web應(yīng)用工作流程/
1.1.2 Web應(yīng)用體系結(jié)構(gòu)內(nèi)的術(shù)語(yǔ)/
1.2 HTTP詳解/
1.2.1 HTTP概述/
1.2.2 HTTP請(qǐng)求方法/
1.2.3 HTTP請(qǐng)求狀態(tài)碼/
1.2.4 HTTP協(xié)議的 URL/
1.2.5 HTTP響應(yīng)頭信息/
1.3 HTTP安全/
1.3.1 URL編碼的基本概念/
1.3.2 UA頭偽造漏洞的概念及利用方法/
1.3.3 返回頭分析方法/
1.3.4 來源偽造漏洞的概念及利用方法/
1.3.5 案例解析——［極客大挑戰(zhàn) 2019］HTTP/
1.4 基礎(chǔ)工具使用/
1.4.1 HackBar 插件/
1.4.2 SwitchyOmega 代理插件/
1.4.3 Wappalyzer 插件/
1.4.4 EditThisCookie 插件/
1.4.5 BurpSuite/
1.4.6 Postman/
1.4.7 案例解析——BUU BURP COURSE 1/
1.5 信息泄露/
1.5.1 Dirsearch 掃描器使用/
1.5.2. git與.svn泄露與利用/
1.5.3 其他源碼泄露/
1.5.4 實(shí)戰(zhàn)練習(xí)/
第2章 Web安全入門——PHP 相關(guān)知識(shí)
2.1 PHP的基礎(chǔ)知識(shí)/
2.2 PHP的弱類型特性/
2.2.1 什么是強(qiáng)類型與弱類型/
2.2.2 弱類型漏洞產(chǎn)生原理/
2.2.3 MD5、HASH 相關(guān)漏洞利用/
2.3 PHP變量覆蓋漏洞/
2.3.1 PHP變量覆蓋的概念/
2.3.2 PHP變量覆蓋的函數(shù)/
2.3.3 PHP變量覆蓋漏洞的利用方法/
2.3.4 案例解析——［BJDCTF2020］Mark loves cat/
2.4 PHP文件包含漏洞/
2.4.1 PHP中常見的文件包含函數(shù)/
2.4.2 PHP中文件包含漏洞的概念/
2.4.3 PHP本地文件包含漏洞/
2.4.4 PHP遠(yuǎn)程文件包含漏洞/
2.4.5 PHP中常見的偽協(xié)議/
2.4.6 案例解析——［BJDCTF2020］ZJCTF/
2.5 PHP代碼執(zhí)行漏洞/
2.5.1 PHP中代碼漏洞的概念/
2.5.2 PHP代碼執(zhí)行漏洞函數(shù)/
2.5.3 案例解析——虎符網(wǎng)絡(luò)安全大賽 Unsetme/
2.6 PHP反序列化漏洞/
2.6.1 PHP的類與對(duì)象/
2.6.2 PHP的序列化與反序列化/
2.6.3 PHP中的反序列化漏洞/2.6.4案例解析——2019強(qiáng)網(wǎng)杯 UPLOAD/
第3章常見Web漏洞解析
3.1 命令執(zhí)行漏洞/
3.1.1 Bash與 CMD常用命令/
3.1.2 命令執(zhí)行漏洞的基礎(chǔ)概念/
3.1.3 過濾敏感字符串繞過的漏洞案例/
3.1.4 無回顯的命令執(zhí)行漏洞案例/
3.1.5 不出網(wǎng)的命令執(zhí)行漏洞案例/
3.1.6 案例解析——［GXYCTF2019］Ping Ping Ping/
3.2 SQL注入漏洞/
3.2.1 SQL語(yǔ)句基礎(chǔ)知識(shí)/
3.2.2 SQL注入漏洞的基礎(chǔ)概念/
3.2.3 SQL手工注入方法/
3.2.4 SQL注入利用方式分類——布爾盲注利用/
3.2.5 SQL注入利用方式分類——時(shí)間盲注利用/
3.2.6 案例解析——CISCN2019 Hack World/
3.3 XSS漏洞/
3.3.1 XSS漏洞的基礎(chǔ)概念/
3.3.2 XSS漏洞分類/
3.3.3 HTML中 XSS 常利用事件/
3.3.4 案例解析——BUU XSS COURSE 1/
3.4 SSRF漏洞/
3.4.1 curl命令的使用/
3.4.2 SSRF漏洞的基礎(chǔ)概念/
3.4.3 SSRF常見漏洞點(diǎn)的尋找方法/
3.4.4 SSRF漏洞利用方法/
3.4.5 Gopherus工具使用案例/
3.4.6 案例解析——［網(wǎng)鼎杯 2020 玄武組］SSRFMe/
第2篇 Crypto密碼
第4章密碼學(xué)概論
4.1 密碼學(xué)發(fā)展歷程/
4.2 編碼/
4.2.1 Base編碼/
4.2.2 其他編碼/
4.2.3 案例解析——AFCTF 2018 BASE/
第5章古典密碼學(xué)
5.1 單表替換密碼/
5.1.1 愷撒密碼/
5.1.2 Atbash密碼/
5.1.3 摩斯密碼/
5.1.4 仿射密碼/
5.1.5 案例解析——AFCTF 2018 Single/
5.2 多表替換密碼/
5.2.1 維吉尼亞密碼/
5.2.2 普萊菲爾密碼/
5.2.3 希爾密碼/
5.2.4 自動(dòng)密鑰密碼/
5.2.5 案例解析——AFCTF 2018 Vigenère/
5.3 其他類型密碼/
5.3.1 培根密碼/
5.3.2 柵欄密碼/
5.3.3 曲路密碼/
5.3.4 豬圈密碼/
5.3.5 跳舞的小人/
5.3.6 鍵盤密碼/
5.3.7 案例解析——SWPUCTF 2019 偉大的偵探/
第6章現(xiàn)代密碼學(xué)
6.1 非對(duì)稱加密體系/
6.1.1 RSA基礎(chǔ)/
6.1.2 RSA基礎(chǔ)攻擊方式/
6.1.3 RSA進(jìn)階攻擊方式/
6.1.4 ElGamal算法介紹/
6.1.5 ECC算法介紹/
6.1.6 案例解析——SWPUCTF 2020 happy/
6.2 對(duì)稱加密體系/
6.2.1 AES/
6.2.2 分組模式介紹/
6.2.3 ECB電子密碼本模式/
6.2.4 CBC密碼分組鏈接模式/
6.2.5 CFB密文反饋模式/
6.2.6 案例解析