代码审计与实操

图书标准信息

• 作者 胡前伟；时瑞鹏；李华风
• 出版社 中国铁道出版社
• 出版时间 2022-04
• 版次 1
• ISBN 9787113288846
• 定价 54.00元
• 装帧 其他
• 开本 16开
• 纸张 胶版纸
• 页数 312页
• 字数 472.000千字

【内容简介】

代码审计是一种以发现程序错误、安全漏洞和违反程序规范为目标的源代码分析技术。本书首先对代码审计的定义、代码审计的流程、代码审计的分类进行了系统的介绍，以PhpStudy为例，介绍了代码审计环境的搭建，并介绍了当前常用的代码审计工具；其次详细介绍了SQL注入漏洞审计、XSS漏洞审计、CSRF请求伪造漏洞审计、代码执行与命令执行漏洞审计、文件包含漏洞审计、XXE与SSRF漏洞审计、任意文件操作漏洞审计、变量覆盖与反序列化漏洞审计、业务功能审计等内容；后介绍了对当前常用的程序设计语言Java和Python的代码审计案例。 本书是校企合作开发的教材，注重所述内容的可操作性和实用性，适合作为高等职业院校计算机机类相关专业的教材，也可以作为网络操作系统安全管理的的重要参考书。

【作者简介】

      胡前伟，密码学硕士，北京鸿腾智能科技有限公司资深网络安全专家。??时瑞鹏，现为天津职业大学电信学院教师，副教授。2009年至今，担任天津市中职技能大赛计算机相关赛项专家，并担任天津市代表队教练工作。??李华风，湖北大学计算机系统分析与集成硕士，武汉市财政学校高级讲师，硬件工程师。

【目录】

单元1 代码审计基础

1.1 代码审计简介

1.1.1 代码审计定义

1.1.2 代码审计流程

1.1.3 代码审计分类

1.2 代码审计环境搭建

1.2.1 phtudy环境介绍

1.2.2 实验：windows与linux搭建74cms

1.3 代码审计工具概要

1.4 代码编辑工具

1.5 自动代码审计工具

1.5.1 seay代码审计工具

1.5.2 ri代码审计工具

1.5.3 vcg代码审计工具

1.5.4 fortify sca代码审计工具

1.5.5 自动化审计工具部署

1.6 代码审计辅助工具

1.6.1 数据包分析工具

1.6.2 浏览器辅助插件工具

1.6.3 实验：buruite数据包拦截

1.6.4 编解码工具

1.6.5 正则表达式测试工具

1.6.6 数据库监控工具

1.7 代码审计动态调试环境搭建

1.7.1 动态调试

1.7.2 xdebug安装与配置

1.7.3 安装xdebug helper插件

1.7.4 phtorm远程调试配置

小结

题

单元2 代码审计前导

2.1 影响代码审计的配置

2.1.1 php的配置文件

2.1.2 传递变量相关的php配置

2.1.3 安全模式

2.1.4 文件上传及权限相关配置

2.1.5 魔术引号及远程文件相关配置

2.1.6 错误信息相关配置

2.2 代码审计基本函数

2.2.1 代码调试函数

2.2.2 可能存在漏洞的点

2.3 弱类型的安全

2.4 常见危险函数

2.4.1 代码执行函数

2.4.2 包含函数

2.4.3 命令执行函数

2.4.4 文件作函数

2.4.5 变量覆盖函数

2.4.6 特殊函数

2.5 代码审计思路

2.5.1 敏感函数参数回溯法

2.5.2 实验：敏感函数参数回溯法分析74cms案例

……

单元3 sql注入漏洞审计

单元4 xss漏洞审计

单元5 csrf漏洞审计

单元6 代码执行与命令执行漏洞审计

单元7 文件包含漏洞审计

单元8 任意文件作漏洞审计

单元9 xxe与ssrf漏洞审计

单元10 变量覆盖与反序列化漏洞

单元11 业务功能审计

单元12 yxcms审计

单元13 java代码审计

单元14 python框架安全

附录a 相关术语

附录b 各单元题参

参文献