![Web Application Security. 2nd Edition Andrew Hoffman - okładka ebooka](https://static01.helion.com.pl/global/okladki/326x466/e_3rz7.png)
![Web Application Security. 2nd Edition Andrew Hoffman - tył okładki ebooka](https://static01.helion.com.pl/global/okladki-tyl/326x466/e_3rz7.png)
- Ocena:
- Bądź pierwszym, który oceni tę książkę
- Stron:
- 444
- Dostępne formaty:
-
ePubMobi
Opis ebooka: Web Application Security. 2nd Edition
In the first edition of this critically acclaimed book, Andrew Hoffman defined the three pillars of application security: reconnaissance, offense, and defense. In this revised and updated second edition, he examines dozens of related topics, from the latest types of attacks and mitigations to threat modeling, the secure software development lifecycle (SSDL/SDLC), and more.
Hoffman, senior staff security engineer at Ripple, also provides information regarding exploits and mitigations for several additional web application technologies such as GraphQL, cloud-based deployments, content delivery networks (CDN) and server-side rendering (SSR). Following the curriculum from the first book, this second edition is split into three distinct pillars comprising three separate skill sets:
- Pillar 1: Recon—Learn techniques for mapping and documenting web applications remotely, including procedures for working with web applications
- Pillar 2: Offense—Explore methods for attacking web applications using a number of highly effective exploits that have been proven by the best hackers in the world. These skills are valuable when used alongside the skills from Pillar 3.
- Pillar 3: Defense—Build on skills acquired in the first two parts to construct effective and long-lived mitigations for each of the attacks described in Pillar 2.
Wybrane bestsellery
-
Książka systematyzuje wiedzę dotyczącą ataków hakerskich i technik zabezpieczania przed nimi aplikacji internetowych. Autor dogłębnie opisuje metody ataków na poziomie kodu i architektury systemu. Sporo uwagi poświęca eksperckim technikom prowadzenia rekonesansów, dzięki którym nawet bez wiedzy o...(35.40 zł najniższa cena z 30 dni)
35.40 zł
59.00 zł(-40%) -
Oto drugie wydanie książki, którą specjaliści CISO uznali za przełomową. Dowiesz się z niej, jak kwantyfikować niepewność i jak za pomocą prostych metod i narzędzi poprawić ocenę ryzyka w nowoczesnych organizacjach. Znalazły się tu nowe techniki modelowania, pomiaru i szacowania, a także mnóstwo ...(60.90 zł najniższa cena z 30 dni)
52.20 zł
87.00 zł(-40%) -
Dzięki tej świetnie napisanej, miejscami przezabawnej książce dowiesz się, na czym naprawdę polega testowanie granic bezpieczeństwa fizycznego. To fascynująca relacja o sposobach wynajdywania niedoskonałości zabezpieczeń, stosowania socjotechnik i wykorzystywania słabych stron ludzkiej natury. Wy...(35.40 zł najniższa cena z 30 dni)
35.40 zł
59.00 zł(-40%) -
Oto przewodnik po inżynierii detekcji, przeznaczony dla inżynierów zabezpieczeń i analityków bezpieczeństwa. Zaprezentowano w nim praktyczną metodologię planowania, budowy i walidacji mechanizmów wykrywania zagrożeń. Opisano zasady pracy z frameworkami służącymi do testowania i uwierzytelniania p...(53.40 zł najniższa cena z 30 dni)
53.40 zł
89.00 zł(-40%) -
Trzymasz w rękach drugie wydanie książki, którą docenili specjaliści bezpieczeństwa IT na całym świecie. Dzięki niej zrozumiesz zasady tworzenia skutecznych strategii cyberbezpieczeństwa dla swojej organizacji. Poznasz długoterminowe trendy w ujawnianiu i wykorzystywaniu luk w zabezpieczeniach, r...(65.40 zł najniższa cena z 30 dni)
65.40 zł
109.00 zł(-40%) -
Dzięki tej książce nauczysz się gromadzić publicznie dostępne informacje, korzystać z wiedzy o cyklu życia wrażliwych danych i przekształcać je w informacje wywiadowcze przydatne dla zespołów zajmujących się bezpieczeństwem. Opanujesz proces gromadzenia i analizy danych, poznasz również strategie...(59.40 zł najniższa cena z 30 dni)
59.40 zł
99.00 zł(-40%) -
W ostatnich latach na lidera konteneryzacji wyrosło środowisko uruchomieniowe Docker. Dzięki funkcjonalności, wygodnej obsłudze i szerokiej kompatybilności z różnymi systemami operacyjnymi stanowi on dziś techniczny standard. Docker otwiera przed badaczami cyberbezpieczeństwa nowe możliwości test...(29.40 zł najniższa cena z 30 dni)
29.40 zł
49.00 zł(-40%) -
Ta książka jest doskonałym wprowadzeniem do inżynierii społecznej. Omawia koncepcje psychologiczne leżące u podstaw tej dyscypliny i jej aspekty etyczne. Zaprezentowano tu narzędzie ułatwiające korzystanie z technik inżynierii społecznej w atakach socjotechnicznych. Następnie szczegółowo pokazano...(41.40 zł najniższa cena z 30 dni)
41.40 zł
69.00 zł(-40%)
O autorze ebooka
Andrew Hoffman jest starszym inżynierem do spraw bezpieczeństwa w Salesforce.com. Specjalizuje się w zabezpieczeniach drzewa DOM i JavaScriptu. Pracował z dostawcami wszystkich najważniejszych przeglądarek oraz z organizacjami TC39 i WHATWG. Bada również zagadnienia „bezstanowych (bezpiecznych/czystych) modułów”, umożliwiających wykonywanie kodu JavaScript przy znacznie zmniejszonym ryzyku.
Ebooka "Web Application Security. 2nd Edition" przeczytasz na:
-
czytnikach Inkbook, Kindle, Pocketbook, Onyx Boox i innych
-
systemach Windows, MacOS i innych
-
systemach Windows, Android, iOS, HarmonyOS
-
na dowolnych urządzeniach i aplikacjach obsługujących formaty: PDF, EPub, Mobi
Masz pytania? Zajrzyj do zakładki Pomoc »
Audiobooka "Web Application Security. 2nd Edition" posłuchasz:
-
w aplikacji Ebookpoint na Android, iOS, HarmonyOs
-
na systemach Windows, MacOS i innych
-
na dowolnych urządzeniach i aplikacjach obsługujących format MP3 (pliki spakowane w ZIP)
Masz pytania? Zajrzyj do zakładki Pomoc »
Kurs Video "Web Application Security. 2nd Edition" zobaczysz:
-
w aplikacjach Ebookpoint i Videopoint na Android, iOS, HarmonyOs
-
na systemach Windows, MacOS i innych z dostępem do najnowszej wersji Twojej przeglądarki internetowej
Szczegóły ebooka
- ISBN Ebooka:
- 978-10-981-4389-3, 9781098143893
- Data wydania ebooka:
-
2024-01-17
Data wydania ebooka często jest dniem wprowadzenia tytułu do sprzedaży i może nie być równoznaczna z datą wydania książki papierowej. Dodatkowe informacje możesz znaleźć w darmowym fragmencie. Jeśli masz wątpliwości skontaktuj się z nami sklep@ebookpoint.pl.
- Język publikacji:
- angielski
- Rozmiar pliku ePub:
- 13.0MB
- Rozmiar pliku Mobi:
- 32.1MB
Spis treści ebooka
- Preface
- Changes from the First Edition
- Prerequisite Knowledge and Learning Goals
- Why Are Examples in JavaScript?
- Why Teach Concepts Instead of Tools?
- Suggested Background
- Minimum Required Skills
- Who Benefits Most from Reading This Book?
- Software Engineers and Web Application Developers
- Software engineers
- Web application developers
- Software Engineers and Web Application Developers
- General Learning Goals
- Security Engineers, Pen Testers, and Bug Bounty Hunters
- How Is This Book Organized?
- Recon
- Offense
- Defense
- Language and Terminology
- Summary
- Conventions Used in This Book
- OReilly Online Learning
- How to Contact Us
- Acknowledgments
- 1. The History of Software Security
- The Origins of Hacking
- The Enigma Machine, Circa 1930
- Automated Enigma Code Cracking, Circa 1940
- Telephone Phreaking, Circa 1950
- Anti-Phreaking Technology, Circa 1960
- The Origins of Computer Hacking, Circa 1980
- The Rise of the World Wide Web, Circa 2000
- Hackers in the Modern Era, Circa 2015+
- Summary
- I. Recon
- 2. Introduction to Web Application Reconnaissance
- Information Gathering
- Web Application Mapping
- Summary
- 3. The Structure of a Modern Web Application
- Modern Versus Legacy Web Applications
- REST APIs
- JavaScript Object Notation
- JavaScript
- Variables and Scope
- Functions
- Context
- Prototypal Inheritance
- Asynchrony
- Browser DOM
- SPA Frameworks
- Authentication and Authorization Systems
- Authentication
- Authorization
- Web Servers
- Server-Side Databases
- Client-Side Data Stores
- GraphQL
- Version Control Systems
- CDN/Cache
- Summary
- 4. Finding Subdomains
- Multiple Applications per Domain
- The Browsers Built-In Network Analysis Tools
- Taking Advantage of Public Records
- Search Engine Caches
- Accidental Archives
- Social Snapshots
- Twitter API
- Zone Transfer Attacks
- Brute Forcing Subdomains
- Dictionary Attacks
- Summary
- 5. API Analysis
- Endpoint Discovery
- Authentication Mechanisms
- Endpoint Shapes
- Common Shapes
- Application-Specific Shapes
- Summary
- 6. Identifying Third-Party Dependencies
- Detecting Client-Side Frameworks
- Detecting SPA Frameworks
- EmberJS
- Angular
- React
- VueJS
- Detecting SPA Frameworks
- Detecting JavaScript Libraries
- Detecting CSS Libraries
- Detecting Client-Side Frameworks
- Detecting Server-Side Frameworks
- Header Detection
- Default Error Messages and 404 Pages
- Database Detection
- Summary
- 7. Identifying Weak Points in
Application Architecture
- Secure Versus Insecure Architecture Signals
- Multiple Layers of Security
- Adoption and Reinvention
- Summary
- 8. Part I Summary
- II. Offense
- 9. Introduction to Hacking Web Applications
- The Hackers Mindset
- Applied Recon
- 10. Cross-Site Scripting
- XSS Discovery and Exploitation
- Stored XSS
- Reflected XSS
- DOM-Based XSS
- Mutation-Based XSS
- Bypassing Filters
- Self-Closing HTML Tags
- Protocol-Relative URLs
- Malformed Tags
- Encoding Escapes
- Polyglot Payloads
- XSS Sinks and Sources
- Summary
- 11. Cross-Site Request Forgery
- Query Parameter Tampering
- Alternate GET Payloads
- CSRF Against POST Endpoints
- Bypassing CSRF Defenses
- Header Validation
- Token Pools
- Weak Tokens
- Content Types
- Regex Filter Bypasses
- Iframe Payloads
- AJAX Payloads
- Zero Interaction Forms
- Summary
- 12. XML External Entity
- XXE Fundamentals
- Direct XXE
- Indirect XXE
- Out-of-Band Data Exfiltration
- Account Takeover Workflow
- Obtaining System User Data
- Obtaining Password Hashes
- Cracking Password Hashes
- SSH Remote Login
- Summary
- 13. Injection
- SQL Injection
- Code Injection
- Command Injection
- Injection Data Exfiltration Techniques
- Data Exfiltration Fundamentals
- In-Band Data Exfiltration
- Out-of-Band Data Exfiltration
- Inferential Data Exfiltration
- Bypassing Common Defenses
- Summary
- 14. Denial of Service
- Regex DoS
- Logical DoS Vulnerabilities
- Distributed DoS
- Advanced DoS
- YoYo Attacks
- Compression Attacks
- Proxy-Based DoS
- Summary
- 15. Attacking Data and Objects
- Mass Assignment
- Insecure Direct Object Reference
- Serialization Attacks
- Web Serialization Explained
- Attacking Weak Serialization
- Summary
- 16. Client-Side Attacks
- Methods of Attacking a Browser Client
- Client-Targeted Attacks
- Client-Specific Attacks
- Methods of Attacking a Browser Client
- Advantages of Client-Side Attacks
- Prototype Pollution Attacks
- Understanding Prototype Pollution
- Attacking with Prototype Pollution
- Prototype Pollution Archetypes
- Denial of service
- Property injection
- Remote code execution
- Clickjacking Attacks
- Camera and Microphone Exploit
- Creating Clickjacking Exploits
- Tabnabbing and Reverse Tabnabbing
- Traditional Tabnabbing
- Reverse Tabnabbing
- DOM API attack
- HTML link attack
- Iframe attack
- Summary
- 17. Exploiting Third-Party Dependencies
- Methods of Integration
- Branches and Forks
- Self-Hosted Application Integrations
- Source Code Integration
- Methods of Integration
- Package Managers
- JavaScript
- Java
- Other Languages
- Common Vulnerabilities and Exposures Database
- Summary
- 18. Business Logic Vulnerabilities
- Custom Math Vulnerabilities
- Programmed Side Effects
- Quasi-Cash Attacks
- Vulnerable Standards and Conventions
- Exploiting Business Logic Vulnerabilities
- Summary
- 19. Part II Summary
- III. Defense
- 20. Securing Modern Web Applications
- Defensive Software Architecture
- Comprehensive Code Reviews
- Vulnerability Discovery
- Vulnerability Analysis
- Vulnerability Management
- Regression Testing
- Mitigation Strategies
- Applied Recon and Offense Techniques
- Summary
- 21. Secure Application Architecture
- Analyzing Feature Requirements
- Authentication and Authorization
- Secure Sockets Layer and Transport Layer Security
- Secure Credentials
- Hashing Credentials
- BCrypt
- PBKDF2
- MFA
- PII and Financial Data
- Search Engines
- Zero Trust Architecture
- The History of Zero Trust
- Implicit Versus Explicit Trust
- Authentication and Authorization
- Summary
- 22. Secure Application Configuration
- Content Security Policy
- Implementing CSP
- CSP Structure
- Important Directives
- CSP Sources and Source Lists
- Strict CSP
- Example Secure CSP Policy
- Content Security Policy
- Cross-Origin Resource Sharing
- Types of CORS Requests
- Simple CORS Requests
- Preflighted CORS Requests
- Implementing CORS
- Headers
- Strict Transport Security
- Cross-Origin-Opener Policy (COOP)
- Cross-Origin-Resource-Policy (CORP)
- Headers with Security Implications
- Legacy Security Headers
- Cookies
- Creating and Securing Cookies
- Testing Cookies
- Framing and Sandboxing
- Traditional Iframe
- Web Workers
- Subresource Integrity
- Shadow Realms
- Summary
- 23. Secure User Experience
- Information Disclosures and Enumeration
- Information Disclosures
- Enumeration
- Information Disclosures and Enumeration
- Secure User Experience Best Practices
- Summary
- 24. Threat Modeling Applications
- Designing an Effective Threat Model
- Threat Modeling by Example
- Logic Design
- Technical Design
- Threat Identification (Threat Actors)
- Threat Identification (Attack Vectors)
- Identifying Mitigations
- Delta Identification
- Summary
- 25. Reviewing Code for Security
- How to Start a Code Review
- Archetypical Vulnerabilities Versus Business Logic Vulnerabilities
- Where to Start a Security Review
- Secure-Coding Anti-Patterns
- Blocklists
- Boilerplate Code
- Trust-by-Default
- Client/Server Separation
- Summary
- 26. Vulnerability Discovery
- Security Automation
- Static Analysis
- Dynamic Analysis
- Vulnerability Regression Testing
- Security Automation
- Responsible Disclosure Programs
- Bug Bounty Programs
- Third-Party Penetration Testing
- Summary
- 27. Vulnerability Management
- Reproducing Vulnerabilities
- Ranking Vulnerability Severity
- Common Vulnerability Scoring System
- CVSS: Base Scoring
- CVSS: Temporal Scoring
- CVSS: Environmental Scoring
- Advanced Vulnerability Scoring
- Beyond Triage and Scoring
- Summary
- 28. Defending Against XSS Attacks
- Anti-XSS Coding Best Practices
- Sanitizing User Input
- DOMParser Sink
- SVG Sink
- Blob Sink
- Sanitizing Hyperlinks
- HTML Entity Encoding
- CSS XSS
- Content Security Policy for XSS Prevention
- Script Source
- Unsafe Eval and Unsafe Inline
- Implementing a CSP
- Summary
- 29. Defending Against CSRF Attacks
- Header Verification
- CSRF Tokens
- Anti-CRSF Coding Best Practices
- Stateless GET Requests
- Application-Wide CSRF Mitigation
- Anti-CSRF middleware
- Summary
- 30. Defending Against XXE
- Evaluating Other Data Formats
- Advanced XXE Risks
- Summary
- 31. Defending Against Injection
- Mitigating SQL Injection
- Detecting SQL Injection
- Prepared Statements
- Database-Specific Defenses
- Mitigating SQL Injection
- Generic Injection Defenses
- Potential Injection Targets
- Principle of Least Authority
- Allowlisting Commands
- Summary
- 32. Defending Against DoS
- Protecting Against Regex DoS
- Protecting Against Logical DoS
- Protecting Against DDoS
- Summary
- 33. Defending Data and Objects
- Defending Against Mass Assignment
- Validation and Allowlisting
- Data Transfer Objects
- Defending Against Mass Assignment
- Defending Against IDOR
- Defending Against Serialization Attacks
- Summary
- 34. Defense Against Client-Side Attacks
- Defending Against Prototype Pollution
- Key Sanitization
- Prototype Freezing
- Null Prototypes
- Defending Against Prototype Pollution
- Defending Against Clickjacking
- Frame Ancestors
- Framebusting
- Defending Against Tabnabbing
- Cross-Origin-Opener Policy
- Link Blockers
- Isolation Policies
- Summary
- 35. Securing Third-Party Dependencies
- Evaluating Dependency Trees
- Modeling a Dependency Tree
- Dependency Trees in the Real World
- Automated Evaluation
- Evaluating Dependency Trees
- Secure Integration Techniques
- Separation of Concerns
- Secure Package Management
- Summary
- 36. Mitigating Business Logic Vulnerabilities
- Architecture-Level Mitigations
- Statistical Modeling
- Modeling Inputs
- Modeling Actions
- Model Development
- Model Analysis
- Summary
- 37. Part III Summary
- Conclusion
- The History of Software Security
- Recon
- Offense
- Defense
- More to Learn
- Index
O'Reilly Media - inne książki
-
This concise yet comprehensive guide explains how to adopt a data lakehouse architecture to implement modern data platforms. It reviews the design considerations, challenges, and best practices for implementing a lakehouse and provides key insights into the ways that using a lakehouse can impact ...(193.69 zł najniższa cena z 30 dni)
193.19 zł
249.00 zł(-22%) -
In today's fast-paced world, more and more organizations require rapid application development with reduced development costs and increased productivity. This practical guide shows application developers how to use PowerApps, Microsoft's no-code/low-code application framework that helps developer...(162.47 zł najniższa cena z 30 dni)
162.27 zł
209.00 zł(-22%) -
Welcome to the systems age, where software professionals are no longer building software&emdash;we're building systems of software. Change is continuously deployed across software ecosystems coordinated by responsive infrastructure. In this world of increasing relational complexity, we need t...(152.21 zł najniższa cena z 30 dni)
152.01 zł
209.00 zł(-27%) -
This book provides an ideal guide for Python developers who want to learn how to build applications with large language models. Authors Olivier Caelen and Marie-Alice Blete cover the main features and benefits of GPT-4 and GPT-3.5 models and explain how they work. You'll also get a step-by-step g...(155.41 zł najniższa cena z 30 dni)
155.36 zł
209.00 zł(-26%) -
In today's cloud native world, where we automate as much as possible, everything is code. With this practical guide, you'll learn how Policy as Code (PaC) provides the means to manage the policies, related data, and responses to events that occur within the systems we maintain—Kubernetes, c...(212.59 zł najniższa cena z 30 dni)
212.39 zł
279.00 zł(-24%) -
Geared to intermediate- to advanced-level DBAs and IT professionals looking to enhance their MySQL skills, this guide provides a comprehensive overview on how to manage and optimize MySQL databases. You'll learn how to create databases and implement backup and recovery, security configurations, h...(221.43 zł najniższa cena z 30 dni)
221.33 zł
279.00 zł(-21%) -
Get the details, examples, and best practices you need to build generative AI applications, services, and solutions using the power of Azure OpenAI Service. With this comprehensive guide, Microsoft AI specialist Adrián González Sánchez examines the integration and utilization of Az...(162.23 zł najniższa cena z 30 dni)
162.18 zł
209.00 zł(-22%) -
Despite the increase of high-profile hacks, record-breaking data leaks, and ransomware attacks, many organizations don't have the budget for an information security (InfoSec) program. If you're forced to protect yourself by improvising on the job, this pragmatic guide provides a security-101 hand...(214.77 zł najniższa cena z 30 dni)
214.57 zł
239.00 zł(-10%) -
Keeping up with the Python ecosystem can be daunting. Its developer tooling doesn't provide the out-of-the-box experience native to languages like Rust and Go. When it comes to long-term project maintenance or collaborating with others, every Python project faces the same problem: how to build re...(189.29 zł najniższa cena z 30 dni)
188.79 zł
239.00 zł(-21%) -
Bringing a deep-learning project into production at scale is quite challenging. To successfully scale your project, a foundational understanding of full stack deep learning, including the knowledge that lies at the intersection of hardware, software, data, and algorithms, is required.This book il...(227.19 zł najniższa cena z 30 dni)
227.14 zł
279.00 zł(-19%)
Dzieki opcji "Druk na żądanie" do sprzedaży wracają tytuły Grupy Helion, które cieszyły sie dużym zainteresowaniem, a których nakład został wyprzedany.
Dla naszych Czytelników wydrukowaliśmy dodatkową pulę egzemplarzy w technice druku cyfrowego.
Co powinieneś wiedzieć o usłudze "Druk na żądanie":
- usługa obejmuje tylko widoczną poniżej listę tytułów, którą na bieżąco aktualizujemy;
- cena książki może być wyższa od początkowej ceny detalicznej, co jest spowodowane kosztami druku cyfrowego (wyższymi niż koszty tradycyjnego druku offsetowego). Obowiązująca cena jest zawsze podawana na stronie WWW książki;
- zawartość książki wraz z dodatkami (płyta CD, DVD) odpowiada jej pierwotnemu wydaniu i jest w pełni komplementarna;
- usługa nie obejmuje książek w kolorze.
Masz pytanie o konkretny tytuł? Napisz do nas: sklep[at]helion.pl.
Książka, którą chcesz zamówić pochodzi z końcówki nakładu. Oznacza to, że mogą się pojawić drobne defekty (otarcia, rysy, zagięcia).
Co powinieneś wiedzieć o usłudze "Końcówka nakładu":
- usługa obejmuje tylko książki oznaczone tagiem "Końcówka nakładu";
- wady o których mowa powyżej nie podlegają reklamacji;
Masz pytanie o konkretny tytuł? Napisz do nas: sklep[at]helion.pl.
Książka drukowana
![Loader](https://static01.helion.com.pl/ebookpoint/img/ajax-loader.gif)
![ajax-loader](https://static01.helion.com.pl/ebookpoint/img/ajax-loader.gif)
Oceny i opinie klientów: Web Application Security. 2nd Edition Andrew Hoffman (0)
Weryfikacja opinii następuję na podstawie historii zamówień na koncie Użytkownika umieszczającego opinię. Użytkownik mógł otrzymać punkty za opublikowanie opinii uprawniające do uzyskania rabatu w ramach Programu Punktowego.