безопасность веб приложений книга
Подборка книг по информационной безопасности
Авторизуйтесь
Подборка книг по информационной безопасности
В программных продуктах разработчики достаточно часто сосредотачиваются на функциональности и производительности, а о безопасности думают лишь в последнюю очередь. Ниже представлена подборка книг, которые помогут избавиться от различных «дыр» в безопасности. Темы самые разные: от мобильных и веб-приложений до Интернета вещей, десктопных программ и контейнеров.
Лаборатория хакера
В книге рассмотрены методы и средства хакерства. Её особенность — минимум теории и максимум практики. В «Лаборатории хакера» описывается ряд способов перехвата паролей, взлома Wi-Fi сетей, дальнейшие действия злоумышленника после проникновения в локальную сеть жертвы, рассказывается о шифровании данных, способах сохранения инкогнито в Интернете и методах взлома паролей из базы Active Directory. В книге много внимания уделено изучению хакинга с использованием смартфонов.
В книге материал больше ориентирован на Windows, но и Unix-системам автор уделил внимание. Главная её цель — ознакомить читателя с методами работы злоумышленников, чтобы он смог сделать свои проекты более защищёнными.
Хакинг. Искусство эксплойта
Данная книга не содержит в себе каких-то готовых рецептов взлома чего-либо. Она даёт читателю необходимую базу для понимания основных направлений хакинга, например, реверс-инжиниринг и эксплуатацию уязвимостей, безопасность веб-приложений, криптографию и беспроводные сети. Кроме того, в книге даны основы языка Си и ассемблера.
Hacking the Xbox: An Introduction to Reverse Engineering
Книга предоставляет пошаговые руководства по модификации оборудования, которые учат базовым методам хакерства, а также реверс-инжинирингу. В ней подробно обсуждаются механизмы безопасности Xbox и другие темы. Кроме того, в книге даны практические указания по организации хакерской атаки и даже пайке электронных компонентов. Книга также охватывает социальные и политические последствия взлома.
Нормативная база и стандарты в области информационной безопасности
Книга от Ю. Родичева содержит разбор наиболее важных нормативных документов ФСТЭК, а также международных и национальных стандартов Российской Федерации в области информационной безопасности. Это учебное пособие предназначено для студентов вузов, но будет полезно и специалистам в области ИБ.
Введение в информационную безопасность автоматизированных систем
Автор В. Бондарев рассмотрел в книге законодательную базу информационной безопасности, основные подходы к созданию систем защиты информации, привёл перечень возможных угроз и классификацию предупредительных мер.
Учебное пособие подготовлено для студентов вузов, изучающих ИБ.
Информационная безопасность: защита и нападение
Во многих книгах по ИБ освещаются либо только технические аспекты, либо нормативные акты, связанные с обеспечением ИБ. Но данное учебное пособие стремится избавиться от однобокого разбора этой темы, и поэтому в ней приводятся как техническая информация, описывающая атаки и защиту от них, так и рекомендации по обеспечению информационной безопасности с соответствующими примерами.
Книга предназначена для системных администраторов и пользователей малых и средних сетей, осуществляющих защиту корпоративных ресурсов.
The Internet of Risky Things: Trusting the Devices that Surround Us
Профессор Шон Смит, автор этой книги, считает, что использование в Интернете вещей текущих практик информационной безопасности проектов недопустимо и может привести к неприятным последствиям. Поэтому он предлагает создавать совершенно новые подходы к обеспечению безопасности IoT-устройств.
Книга описывает методы, позволяющие избежать ошибок при проектировании IoT, преследующие IT-проекты последние десятилетия. Пособие подойдёт разработчикам, инженерам, промышленные дизайнерам и производителям.
Privacy and the Internet of Things
В этой книге Интернет вещей рассматривается со стороны защиты пользовательских данных. Автор Гилад Роснер (Gilad Rosner) изучил американские и европейские концепции защиты личных данных, ценности, методы конфиденциальности и их применение в IoT.
Читатели смогут найти в книге различные определения Интернета вещей и сформировать о нём своё мнение, понять различие в IoT между конфиденциальностью и безопасностью, изучить основные риски конфиденциальности, связанные с распространением подключенных устройств, и многое другое.
Fuzzing: исследование уязвимостей методом грубой силы
Фаззинг — это процесс отсылки намеренно некорректных данных в исследуемый объект с целью вызвать ситуацию сбоя или ошибку. С его помощью можно предсказать типы ошибок в программном продукте на основе полученных выходных данных. Поэтому ключ к эффективному фаззингу — правильный подбор данных, инструментов и изучаемых продуктов. В книге достаточно понятным языком рассказывается о том, как подвергать фаззингу программные продукты и строить собственные эффективные фаззеры, поэтому она подойдёт как новичкам в этом деле, так и опытным специалистам.
Docker Security
Чтобы безопасно использовать Docker, необходимо знать о потенциальных проблемах безопасности, а также об основных инструментах и методах обеспечения безопасности систем на базе контейнеров. Автор этой книги Эдриан Муат (Adrian Mouat) даёт в ней рекомендации для разработки политик и процедур безопасности контейнеров.
В книге рассматриваются такие угрозы, как эксплойты ядра, DoS-атаки, разрывы контейнеров и заражённые изображения. Хоть книга и выпущена в 2016 году, многие методы, приведенные в ней, по-прежнему актуальны.
DevOpsSec
Автор Джим Бёрд в своей книге рассказал об опыте создания безопасных DevOps-процессов таких компаний, как Etsy, Netflix и London Multi-Asset Exchange (LMAX). Из книги вы узнаете, как использовать такие процессы и инструменты, как контроль версий, контейнеры и Continuous Delivery, которые используют специалисты DevOps для автоматизации доставки программного обеспечения и изменений инфраструктуры. Другими словами, вы поймёте, как безопасно использовать DevOps.
Spring Security Essentials
Spring Security — это платформа, ориентированная на обеспечение аутентификации и авторизации для Java-приложений и является частью фреймворка Spring. Spring Security, как и все Spring-проекты, примечателен гибкостью и простотой масштабирования в соответствии с поставленными требованиями.
Spring Security Essentials фокусируется на безопасности приложений — области, которая редко изучается разработчиком Spring. В начале книги представлены различные отраслевые стандарты безопасности и практические способы интеграции с ними. Кроме этого, пособие познакомит с некоторыми современными примерами использования, такими как создание безопасных веб-служб и RESTful-приложений.
Политики безопасности компании при работе в Интернет
Книга является первым полным русскоязычным практическим руководством по вопросам разработки политик ИБ. Её отличает последовательное изложение всех основных идей, методов и способов практического решения разработки, внедрения и поддержки политик безопасности в различных российских государственных и коммерческих структурах.
Security for Web Developers: Using JavaScript, HTML, and CSS
В этом практическом руководстве можно найти информацию о том, как устранить угрозы безопасности веб-приложений на нескольких уровнях, включая такие области, как микросервисы. Кроме того, в книге описано, как защитить своё приложение на любой платформе.
Автор Джон Пол Мюллер предоставляет в своей книге рекомендации и несколько примеров безопасного программирования для разработчиков с хорошим знанием CSS3, HTML5 и JavaScript. Руководство поделено на пять отдельных разделов, в которых дан материал о том, как защитить веб-приложение от вирусов, DDoS-атак, нарушений безопасности и других вторжений.
Security and Frontend Performance
Безопасность и производительность часто рассматриваются как отдельные проблемы, требующие разных решений. Но злоумышленники постоянно придумывают новые способы воздействия на оба аспекта веб-сайта. Поэтому нужны решения, которые могут устранять «бреши» в безопасности, одновременно повышая производительность веб-приложения. Как это возможно? В этой книге вы изучите решения, которые могут повысить безопасность и производительность конечных пользователей.
Mobile Application Penetration Testing
Мобильные приложения постоянно работают с пользовательскими данными, в том числе конфиденциальными. Поэтому разработчику крайне важно проводить тесты на проникновение (penetration testing), чтобы обеспечить безопасность пользовательских данных и найти уязвимости и лазейки.
В данной книге описаны принципы работы основных компонентов Android- и iOS-приложений. Далее читателю даётся информация о правильной настройке тестовой среды, чтобы выявить максимальное количество уязвимостей, а затем о том, как эти «бреши» устранять.
Coding for Penetration Testers
Данная книга познакомит читателей со скриптовыми языками, которые используются в инструментах для тестов на проникновение, а также с примерами того, как их использовать и в каких ситуациях.
Второе издание много внимания уделяет использованию Powershell и различным инструментам для тестирования.
Nmap Cookbook: The Fat-Free Guide to Network Security Scanning
Данная книга обеспечивает упрощённый охват функций сетевого сканирования, доступных в наборе утилит Nmap. Каждая функция Nmap проиллюстрирована наглядными примерами, которые помогут быстро понять их назначение.
В книге охватываются следующие темы:
А какие книги по информационной безопасности читали вы? Поделитесь ими в комментариях, лучшие войдут в эту подборку.
Книга «Безопасность веб-приложений»
Привет, Хаброжители! Среди огромного количества информации по сетевой и ИТ-безопасности практически не найти книг по безопасности веб-приложений. Познакомьтесь на практике с разведкой, защитой и нападением! Вы изучите методы эффективного исследования и анализа веб-приложений, даже тех, к которым нет прямого доступа, узнаете самые современные хакерские приемы и научитесь защищать собственные разработки.
Атака на внешние сущности XML (XXE)
Атака на внешние сущности XML-документа (XML External Entity, XXE) во многих случаях легко осуществима и приводит к разрушительным последствиям. Уязвимость, благодаря которой она становится возможной, связана с неправильной настройкой анализатора XML в коде приложения.
Вообще-то почти все XXE-уязвимости обнаруживаются, когда конечная точка API принимает данные в формате XML (или подобном ему). Вам может казаться, что конечные точки, принимающие XML, встречаются редко, но к XML-подобным форматам относятся SVG, HTML/DOM, PDF (XFDF) и RTF. Они имеют много общего со спецификацией XML, и в результате многие анализаторы XML также принимают их в качестве входных данных.
Спецификация XML позволяет подключать к документу дополнительные компоненты — так называемые внешние сущности. Если XML-анализатор не проводит соответствующую проверку, он может просто загрузить внешнюю сущность и подключить к содержимому XML-документа и таким образом скомпрометировать файлы в файловой структуре сервера.
Атака на внешние сущности XML часто используется для компрометации файлов от других пользователей или для доступа к таким файлам, как /etc/shadow, где хранятся учетные данные, необходимые для правильной работы Unix-сервера.
Атака напрямую
При прямой XXE-атаке объект XML отправляется на сервер под видом внешней сущности. После его анализа возвращается результат, включающий внешнюю сущность (рис. 12.1).
Представим, что mega-bank.com предоставляет утилиту для создания скриншотов, позволяющую отправлять их непосредственно в службу поддержки.
На стороне клиента эта функциональность выглядит так:
Под «этой функциональностью» подразумевается очень простая вещь: пользователь нажимает кнопку и создает снимок экрана, который отправляется в службу поддержки.
С программной точки зрения это тоже не слишком сложно:
На стороне сервера маршрут с именем screenshot соотносится с запросом из нашего браузера:
Преобразуемый в формат JPG файл XML должен пройти через XML-анализатор. Причем этот анализатор должен соответствовать спецификации XML.
Наш клиент отправляет на сервер обычный набор кода HTML/DOM, преобразованный в формат XML для облегчения процесса анализа. При обычной работе мало шансов, что этот код когда-либо будет представлять какую-либо опасность.
Но отправленные клиентом данные DOM может изменить технически подкованный пользователь. В качестве альтернативы можно просто подделать сетевой запрос и отправить на сервер, например, вот такой код:
После получения такого запроса анализатор сервера проверяет XML и возвращает нам изображение (JPG). Если синтаксический анализатор XML явно не отключает внешние сущности, мы увидим на присланном снимке экрана содержимое текстового файла /etc/passwd.
Непрямая XXE-атака
В случае непрямой XXE-атаки сервер генерирует XML-объект в ответ на присланный запрос. В него включаются параметры, предоставленные пользователем, и потенциально это может привести к включению параметра внешней сущности (рис. 12.2).
Иногда XXE-атаку можно нацелить на конечную точку, напрямую не работающую с отправленным пользователем XML-объектом.
В случае API, принимающего в качестве параметра XML-подобный объект, первым делом имеет смысл проверить его на XXE-уязвимость. Тот факт, что API не принимает в запросах объекты XML, не означает, что там не применяется XML-анализатор.
Представим приложение, которое запрашивает у пользователя только один параметр через конечную точку REST API. Приложение предназначено для синхронизации этого параметра с программным пакетом CRM-системы, которым уже пользуется фирма.
Для своего API программа CRM может ожидать информацию в формате XML. Это означает, что несмотря на заявления о непринятии такого формата, для корректного взаимодействия сервера с программным пакетом CRM присылаемые пользователем данные должны быть преобразованы в объект XML через REST-сервер, а затем отправлены в пакет софта CRM.
Часто эти операции происходят в фоновом режиме, и со стороны сложно определить, что данные в формате XML вообще используются. И так бывает достаточно часто. Так как корпоративное ПО не монолитно, а носит модульный характер, часто бывает так, что API-интерфейсы JSON/REST должны взаимодействовать с API XML/SOAP. Кроме того, одновременно используется как современное, так и унаследованное ПО, в результате чего часто появляются большие дыры в безопасности.
В предыдущем примере присланные нами данные преобразовывались сервером в формат XML перед отправкой в другую программную систему. Но как снаружи понять, что это происходит?
Один из способов — изучение компании, чье веб-приложение вы тестируете. Нужно определить, какие у них есть лицензионные соглашения для крупных предприятий. Иногда такая информация открыта для публики.
Также можно заглянуть на другие сайты этой компании и проверить, представлены ли какие-либо данные через отдельную систему или сторонний URL-адрес. Кроме того, многие старые пакеты корпоративного софта — от CRM до бухгалтерского учета или управления персоналом — имеют ограничения по структуре хранимых данных. Если узнать, данные какого типа ожидаются этими интегрированными программными пакетами, можно будет сделать вывод, что они используются общедоступным API, если он ожидает нехарактерного форматирования данных перед их отправкой.
Итоги
Понять, как осуществляется XXE-атака, и провести ее в большинстве случаев несложно. Эти атаки заслуживают упоминания, потому что они удивительно мощны и могут поставить под угрозу весь веб-сервер, не говоря уже о работающем поверх него веб-приложении.
Атаки XXE возможны благодаря существованию недостаточно защищенного стандарта, который, тем не менее, широко используется в интернете. Предотвратить XXE-атаки на синтаксические анализаторы несложно. Иногда всего одна строка в конфигурации убирает возможность ссылаться на внешние сущности. При этом атаки этого типа всегда следует пробовать против новых приложений, поскольку одна недостающая строка в настройках XML-анализаторе открывает двери перед хакером.
Для Хаброжителей скидка 25% по купону — Безопасность
По факту оплаты бумажной версии книги на e-mail высылается электронная книга.
Безопасность веб приложений книга
Не смогла осилить. Вроде сюжет неплохой, но чего то не хватает.
Становление Героя Щита Книга 2
Как скачать аудиокнигу
После полуночи. Метка
Повелительница леса
Перебор по всем статьям! Сколько всего впихнули в книгу. Словами не передать. Да Гг-ня везде успела побывать. Единственным ПОЧТИ адекватным персонажем можно считать главного героя. Только он со
Целостность и свобода человека
1. аВТОРАМИ И Правообладателями являемся мы: я, Беляев Игорь Александрович и мой соавтор Максимов Александр Михайлович. 2. «Андрей Максимов» ни ко мне, ни к моему соавтору, ни к нашей книге отношения не имеет.
Рейтинг: 0.0/5 (Всего голосов: 0)
Аннотация
В современном мире безопасность Web-приложений является ключевым фактором общей безопасности бизнеса. Профессионалы в области защиты информации найдут в этой книге немало ценных сведений, которые позволят им успешно противостоять угрозам безопасности Web-приложений.
В книге наглядно продемонстрировано, как можно защититься от любых методов взлома, понимая образ мышления хакеров и зная приемы, которыми они пользуются.
Систематизировав самые серьезные угрозы безопасности Web-приложений и раскрыв детали их реализации, авторы объясняют, как можно противостоять этим угрозам.
Книга будет полезной специалистам в области защиты информации, разработчикам Web-узлов, администраторам сетей, специалистам по электронному бизнесу, программистам и менеджерам по информационным технологиям.
Список книг по наступательной информационной безопасности
Grimoire ensorcele by naiiade
Невозможно стать профессионалом в области информационной безопасности, не понимая тонкостей проникновения и обнаружения уязвимостей. Все книги в сегодняшней подборке похожи на заряженную винтовку, которую хочется иметь в качестве защиты: они обязательны для изучения как начинающим исследователям безопасности, так и специалистам, желающим расширить границы знаний.
Часть 1. Общеметодологическое описание тестов на проникновение и обнаружение уязвимостей
В практическом руководстве по тестированию на проникновение эксперт по вопросам безопасности Georgia Weidman рассказывает об основных методах хак-тестирования, а также проводит серию практических занятий с такими инструментами, как Wireshark, Nmap и Burp Suite. Тесты проводятся на основе платформы Kali Linux — основной операционной системе (ОС) для тестов на проникновение и проверку безопасности.
Georgia Weidman профессионально занимается тестированием, является основателем компании консалтинговой безопасности Bulb Security, выступает на таких конференциях как Black Hat, ShmooCon и DerbyCon. Также она получила грант FastTrack DARPA Cyber — для продолжения работы в области безопасности мобильных устройств. К созданию книги Georgia привлекла известного в узких кругах исследователя — Peter Van Eeckhoutteaka (corelanc0d3r), основателя Corelan Security Team.
Книга подойдет новичку, желающему понять принципы работы хакеров и использования тех же методов и инструментов для защиты своих систем от нападения. На 500 страницах вы найдете хорошие примеры и инструкции по разным темам, включая области разработки эксплойтов, проведение атак на мобильные ОС, социнженерии и обхода антивирусных систем.
Каждая глава Open Source Toolkit сфокусирована на конкретной области тестирования. В книге описаны существующие opensource-инструменты, которые могут быть использованы для проведения теста на проникновение.
Большие коммерческие инструменты тестирования могут быть не только очень дорогими, но и трудными в использовании. Данная книга помогает решить обе проблемы. Open Source Toolkit посвящена технике и методологии тестирования разного рода серверных приложений с помощью инструментов с открытым исходным кодом (читайте бесплатных), которые могут быть изменены пентестером для каждой конкретной ситуации.
Автор книги — Jeremy Faircloth работает в индустрии более 20 лет. За это время он стал экспертом во многих областях: веб-разработка, администрирование баз данных, корпоративная безопасность, проектирование сетей, разработка приложений и управление проектами. Он руководил несколькими техническими командами в компаниях, вошедших в мировой рейтинг 50 крупнейших по выручке. Jeremy написал более десятка технических книг, охватывающих различные IT-темы.
На данный момент доступно третье издание Open Source Toolkit (2011 г.). Выпуск четвертой, дополненной версии анонсирован на конец 2016 г.
Официальное руководство по подготовке к экзаменам на сертификацию CEH поможет выявить риски сетей и компьютеров в плане безопасности. Руководство охватывает весь спектр вопросов хакинга современных систем. Совершенно не важно, имеете ли вы цель стать сертифицированным этичным хакером или нет — книга будет полезна всем специалистам по безопасности.
Начинается руководство с объяснения понятия этического хакерства, затем описываются технические особенности реальных методов взлома, внедрения вредоносного ПО, социальной инженерии, отказа в обслуживании, криптографии и т.п. Книга подойдет людям, обладающим университетским уровнем знаний, имеющим представление об основных сетевых протоколах и принципах работы сетевой инфраструктуры.
За качество руководства отвечает американская организация International Council of E-Commerce Consultants (EC-Council).
Еще одна полезная книга для желающих изучать этичное хакерство. Посвящена она популярному хакерскому фреймворку Metasploit, предназначенному для создания и отладки эксплойтов. Книга идеальна для начинающих изучать Metasploit — в ней описаны сбор данных с помощью NeXpose Community Edition и Несс, игра в прятки с антивирусами через MSFencode, создание «фейковых» точек доступа через Karmetasploit и перехват паролей, шифрование шелл-кода для скрытия факта атаки от IDS или IPS и др.
Если вам интересно, как, казалось бы, по всем признакам неопытные хакерские группировки совершают различные взломы, эта книга даст исчерпывающее объяснение о разнообразии простых атак.
Необходимым навыком является знание Ruby, так как в 2007 г. Metasploit перенесен из Perl на Ruby, таким образом, весь код в этой книге написан на Ruby.
Над книгой трудился большой и очень опытный коллектив авторов: специалист по безопасности David Kennedy (компания TrustedSec), президент Offensive Security Jim O’Gorman (в этой же компании создали Kali Linux, и она же является одним из основных разработчиков Metasploit), специалист Devon Kearns (работал над проектами Backtrack, Kali Linux и Metasploit), разработчик Mati Aharoni (Kali Linux, Whoppix).
Red Team Field Manual (RTFM) представляет собой справочник на 100 страниц для пентестера — обо всем понемногу на платформах Windows, Cisco IOS, также затрагивающий различные сценарии в Powershell, Python и Scapy, и упоминающий несколько удобных Linux-команд.
Red Team — это «белые хакеры», работающие на вас и проводящие атаки на вашу информационную систему. Ben Clark, директор компании с говорящим названием Cyber Security, первоначально написал эту книгу в качестве справочного материала для своей red team, и получил разрешение от своего работодателя на публикацию.
Группа ведущих экспертов в области информационной безопасности написала одну из лучших книг о том, как найти дыры в любой операционной системе или приложении. В книге описываются методы написания шелл-кодов Windows, атаки на переполнение стека, а также нарушения корректного функционирования ядра открытых систем.
Круг вопросов, поднимаемых в 700-страничной книге, огромен! 24 главы разделены на четыре части:
Вместо того чтобы просто продемонстрировать применение существующих эксплойтов, автор книги, Jon Erickson, методично объясняет, как на самом деле работают хакерские методы взлома. Первые 100 страниц посвящены изложению базовых понятий, необходимых для понимания эксплойтов, затем идет плавный переход к технической части: как эксплуатировать систему памяти для запуска произвольного кода при помощи переполнения буфера, как написать собственный полиморфный шелл-код, как перехватывать сетевой трафик и т.д. В книге затронуты также такие темы, как взлом паролей, атаки Man In The Middle в сети Wi-Fi и даже использование софта для обхода защиты по отпечатку пальца.
Для сетевого программиста Linux, желающего изучить безопасное программирование, лучшей книги нет. Определенно она не подойдет новичкам, потребует от вас знания C и ассемблера, но в то же время обладает исчерпывающей справочной информацией для того, чтобы опытный сисадмин смог начать работу с ней немедленно.
Jon Erickson — свободный исследователь уязвимостей и специалист по компьютерной безопасности.
Четвертое издание книги вышло в прошлом году, и пригодится всем, кто только встал на путь изучения информационной безопасности. Учебник для начинающих специалистов по безопасности и пентестеров понемногу охватывает почти все темы кибер-безопасности. Помимо классического описания эксплоитов и шелл-кодов, malware, реверс-инжиниринга, SQL-инъекции и т.п., обновленная версия книги содержит 12 глав об Android-эксплоитах, о взломе роутеров и паролей MD5, о поиске уязвимостей «нулевого дня» и т.д. В общем, на 700 страницах есть все, что поможет вам выбрать наиболее интересную область для дальнейших исследований.
Коллектив авторов стал под стать темам, и он огромен:
Часть 2. Анализ защищенности беспроводных сетей
Простое руководство о классических методах беспроводных атак: вардрайвинг, перехват пакетов WLAN, сканирование сети, обход фильтров MAC и аутентификации, взлом WEP и WPA/WPA2, спуфинг, Man-In-The-Middle атака, атак «злой двойник», DoS-атаки, вирусные SSIDs, «медовые ловушки» и еще с десяток других.
Книга подходит новичкам, имеющим хотя бы базовые знания о Linux или Backtrack 5 и Wi-Fi.
Автор книги — Vivek Ramachandran — один из победителей конкурса Microsoft Security. Работал инженером по безопасности в Cisco, основал SecurityTube.net, открыл способ беспроводной атаки CaffeLatte, выступал на многочисленных конференциях по вопросам безопасности, включая Blackhat, Defcon и Toorcon.
Часть 3. Анализ защищенности веб-приложений
В книге с длинным названием (для удобства будем называть ее WAHH) на 900 страницах (во второй редакции) рассматриваются методы удаленного управления, HTML5, кросс-доменные коммуникации, кликджекинг, framebusting (проверка открытых страниц iframe с помощью Javascript), атака на веб-приложения HTTP Parameter Pollution, гибридная атака по словарю и многое другое.
WAHH будет полезна читателям, кто уже имеет опыт работы над функциями безопасности в любых веб-приложениях. Ее можно считать настольной книгой для любой pentest-команды, QA или команды программного аудита.
Авторы WAHH — профессиональные пентестеры, занимающиеся безопасностью веб-приложений более десяти лет:
Самая необычная книга в подборке. Необычна она тем, что бесплатна. Английская версия доступна по ссылке в заголовке, а перевод на русский язык лежит здесь.
OWASP (The Open Web Application Security Project) — открытый проект, объединяющий десятки компаний и специалистов, стремящихся сделать безопасность приложений более прозрачной, чтобы любой разработчик был в курсе потенциальных уязвимостей или слабых мест в его приложении.
OWASP Testing Guide — сборник статей от множества авторов, включающий «лучшие практики» для пентестов и описание техники тестирования в веб-приложениях и веб-сервисах.
Часть 4. Анализ защищенности мобильных платформ (Android, iOS)
Mobile Application Hacker’s Handbook — 800-страничный справочник по эксплуатации уязвимостей на платформах IOS, Android, Blackberry и Windows. В нем описана методология оценки уязвимостей мобильных приложений, а также методы, используемые для предотвращения различных типов атак. Книга охватывает такие темы, как хранение данных, криптография, безопасность транспортного уровня, утечка информации, Runtime Manipulation, контроль безопасности и многое другое.
Вначале публикуется общий обзор о безопасности в мобильных приложениях, затем повествование «распадается» на различные части, каждая из которых направлена на определенную мобильную платформу.
В главе, посвященной анализу IOS-приложений, авторы описывают такие понятия, как API-защиты данных и keychain. Также в книге есть раздел по созданию тестовой среды, в которой можно тестировать IOS-приложения. В следующей главе рассматриваются методы атак на приложения: SQL- и XML-инъекции, а также ненадежность inter-process communication, используемого для передачи данных между приложениями на одном устройстве.
В книге описываются способы защиты iOS-приложений с помощью надежного шифрования, удаления лишних данных (например, данных геолокации), и внедрения дополнительных систем защиты.
Остальные главы, посвященные другим платформам, строятся аналогичным образом: анализ приложений, анализ методов атак, способы создания безопасных приложений для конкретной платформы.
И коротко об авторах:
Первое полное руководство по выявлению и предотвращению атак на Android. Это одна из тех книг, которая просто обязана быть в библиотеке каждого Android-разработчика приложений. После детального объяснения принципов работы ОС и устройства ее общей архитектуры безопасности, авторы исследуют уязвимости, которые могут быть обнаружены для различных компонентов системы.
Трудно найти книгу, которая сравнилась бы с этой в вопросах детального изучения безопасности Android-приложений. Каждая глава самодостаточна, так что вы можете получать информацию по конкретным темам, не перечитывая все руководство. В то же время это издание нельзя рекомендовать начинающим в области IT-безопасности: для понимания написанного необходимо знание основ безопасности сетевых систем, а также наличие опыта Android-разработки. В некоторых местах вам так же пригодится знание ассемблера.
Часть 5. «Боевое» программирование
В «боевом программировании» не обойтись без умения создавать мощные хакерские инструменты «на лету». Если вам интересно, как создаются по-настоящему эффективные инструменты взлома, обратите внимание на Python.
В Black Hat Python вы узнаете, как писать снифферы, манипулировать пакетами, заражать виртуальные машины, создавать трояны с помощью Git Hub, делать своими руками кейлоггеры, писать расширение к Burp Suite (набор утилит для пентестинга), наиболее скрытно выводить данные из сети и многое другое.
Книга проведет вас через создание классических сетевых инструментов в Python до написания собственного вредоносного софта… чтобы показать, как хакеры попадают в ваш компьютер, скрытно крадут данные и долгое время сохраняют анонимный доступ к вашим ресурсам. Помимо этого, вы научитесь самостоятельно создавать ПО для обнаружения и обезвреживания вражеских атак.
Объем книги невелик — 161 страница, большую часть которых занимают скриншоты и примеры кода. Но ее нельзя рекомендовать новичкам, так как нужен хороший опыт работы с Питоном, к тому же ее нельзя использовать в качестве справочника. Вместо этого вам необходимо поставить себе Linux Kali и шаг за шагом проходить все предложенные задачи.
Автор книги — Justin Seitz — старший сотрудник безопасности в компании Immunity. Также является автором другой популярной книги на эту тему — Gray Hat Python – Python Programming for Hackers and Reverse Engineers. Gray Hat Python появился раньше, в 2009 г., и касается таких тем, как создание дебаггеров, троянов, фаззеров и эмуляторов. Здесь так же нет чистой теории, все примеры сопровождаются кодом, с которым реально надо работать, а кроме него исследовать обширный набор инструментов с открытым исходным кодом, включающий PyDbg, Debugger Sulley, IDA Python, PyEMU.
Об авторе: TJ O’Connor — эксперт по информационной безопасности Министерства обороны США. Дважды тренировал команду победителей на ежегодном чемпионате по киберзащите Агентства национальной безопасности США и выиграл первый ежегодный чемпионат Национального университета обороны.
TJ имеет степень магистра в области компьютерных наук в Университете Северной Каролины, степень магистра в области информационной безопасности института SANS и степень бакалавра в области компьютерных наук Военной академии США.
Каждый инструмент, используемый для тестирования на проникновение, основан на каком-то языке программирования — на Perl, Python или Ruby. Если тестировщик хочет расширить, дополнить или изменить функциональность инструмента для выполнения тестов, ему пригодится эта книга. Coding for Penetration Testers дает читателю понимание сценариев, используемых при разработке инструментов для тестирования, а также предлагает конкретные примеры кода для разработки аналогичных инструментов с помощью Perl, Ruby, Python.
Заключение
В Технопарке Mail.Ru есть курс «Защита информации от вредоносного программного обеспечения». В самом Mail.Ru Group есть отдел информационной безопасности, где мы занимаемся нашим любимым делом — тестами на проникновение. Все книги, упомянутые в данном обзоре, так или иначе имеют отношение к нашей работе, и без них трудно представить подготовку высококлассных специалистов.
Вы всегда можете продолжить этот список, руководствуясь несколькими критериями. Практически каждый автор из обзора пишет регулярно, публикуя новые учебники или обновляя старые, соотнося материал с требованием времени. Так что следите за их новыми публикациями. К тому же на том же Амазоне неплохая система рейтингов и часто к новым книгам по безопасности появляются адекватные комментарии, на которые тоже следует обращать внимание.