Основы веб-хакинга
Эта книга является на 96%
Дата публикации 2018-01-27
О книге
"Основы веб-хакинга" рассказывает об этичном использовании софта для поиска уязвимостей в безопасности и о том, что научиться взламывать не всегда легко. С небольшими исключениями, существующие книги являются чрезмерно технологическими, посвящая лишь одну главу уязвимостям в сайтах или не включают примеров из реального мира. Эта книга отличается от них.
Используя публично описанные уязвимости, "Основы веб-хакинга" объясняет распространенные веб-уязвимости и покажет вам, как начать искать уязвимости и получать за это деньги. Используя более 30 примеров, эта книга описывает такие темы, как:
- HTML инъекции
- Межсайтовый скриптинг (XSS)
- Межсайтовая подмена запроса (CSRF)
- Открытые перенаправления
- Удаленное исполнение кода (RCE)
- Логика приложений
- и многое другое...
Каждый пример содежит классификацию атаки, ссылку на отчет, сумму выплаченного вознаграждения, понятное описание и ключевые выводы. После прочтения этой книги ваши глаза откроются, и вы увидите огромное колиство существующих уязвимостей, и вы вряд ли когда-либо сможете смотреть на сайт или API прежними глазами
Table of Contents
- Вступительное слово
- Введение
- Необходимые знания
-
Уязвимости Открытого Редиректа (Open Redirect)
- Описание
- Примеры
- Итоги
-
HTTP Parameter Pollution
- Описание
- Примеры
- Итоги
-
CRLF-инъекция
- Описание
- Итоги
-
Cross Site Request Forgery
- Описание
- Примеры
- Итоги
-
Уязвимости в логике приложений
- Описание
- Примеры
- Итоги
-
Cross Site Scripting Attacks
- Описание
- Примеры
- Итоги
-
SQL инъекции
- Описание
- Примеры
- Итоги
-
Захват поддомена
- Описание
- Примеры
- Выводы
-
Уязвимость XML External Entity
- Описание
- Примеры
-
Удаленное выполнение кода
- Описание
- Примеры
- Итоги
-
Инъекция в шаблоны
- Описание
- Примеры
- Итоги
-
Подделка запроса на стороне сервера (Server Side Request Forgery)
- Описание
- Примеры
- Итог
-
Память
- Описание
-
Нарушение целостности памяти
- Примеры
- Итоги
-
Приступаем к работе
- Сеть, Поддомен и сбор ключевой информации
- Просмотр и понимание приложения
- Идентифицируйте используемые технологии
- Погружаемся глубже для поиска уязвимостей
-
Отчёты об уязвимостях
- Прочитайте рекомендации по раскрытию информации.
- Добавьте деталей. Затем добавьте больше деталей.
- Подтвердите уязвимость
- Проявляйте уважение к компании
- Вознаграждения
- Не кричи “Привет”, пока не пересёк пруд.
- Слова напутствия
-
Инструменты Белого Хакера
- Burp Suite
- Knockpy
- HostileSubBruteforcer
- sqlmap
- Nmap
- Shodan
- What CMS
- Nikto
- Recon-ng
- idb
- Wireshark
- Bucket Finder
- Google Dorks
- IPV4info.com
- Плагины Firefox
-
Ресурсы
- Онлайн обучение
- Платформы выплаты вознаграждений за поиск багов
- Дальнейшее чтение
- Рекомендованные блоги
- blog.it-securityguard.com
- Словарь
О авторах
Peter Yaworski is a self-taught developer who started off "developing" websites with Drupal. As he slowly started picking things up, he published YouTube video tutorials to give back to others.
He has since moved on to Rails and Android before developing a keen interest in software security. Right now, he is focused on developing Dailylearns.com, where he is the Lead Developer, and continuing to learn about software development best practices.
You can find his site at www.TorontoWebsiteDeveloper.com or message him on Twitter.
I am Ruby on Rails developer with strong passion for web applications security. I just love to build and break things.
Reader Testimonials
Данил Грибков
Я настоятельно рекомендую Основы веб-хакинга. $10, которые я заплатил, более чем стоили того, когда я получил от PayPal вознаграждение размером в $500, используя предоставленные Питом примеры. В сочетании с постоянными обновлениями книги, к которым я имею пожизненный доступ, это великолепное приобретение.
Джейсон Хэддикс
Отец, хакер, Директор по техническим операциям @Bugcrowd, блоггер, & нерд
Я поддерживаю охотников за вознаграждениями, читая Основы веб-хакинга: Как зарабатывать деньги этичным хакингом от @yaworsk #bugbounty - leanpub.com/white-hat-hacking-ru --Twitter
Майкл Принс
Со-основатель HackerOne
Хотите исследовать искусство и ремесло хакинга? Почитайте последнюю редакцию книги @yaworsk! --Twitter
Джоберт Абма
Со-основатель HackerOne
Каждому, кто интересуется веб-хакингом и получением за это денег, я рекомендую прочитать эту книгу: leanpub.com/white-hat-hacking-ru #bugbounty --Twitter
Лео Ниемела
Руководитель отдела безопасности в LocalTapiola Group
Стоит почитать (только что купил себе копию): Как зарабатывать деньги этичным хакингом от @yaworsk leanpub.com/white-hat-hacking-ru #bugbounty --Twitter
Бен Садежипур
Участник Bug Bounty. Блогер. Геймер.
Отличная книга от @yaworsk. Если по какой-то причине вы её еще не прочитали, не теряйте времени! --Twitter
Джонатан Эйвери
Хакер
Исследования реальных примеров, которые помогли мне получить $600 в программе "Hack The Pentagon". Эта книга так же дала мне прирост уверенности, который был необходим, чтобы отправить резюме на высокооплачиваемую позицию инженера по безопасности в компании Top Aerospace.
@brutelogic
Security researcher @sucurisecurity
Отличная работа от @yaworsk на leanpub.com/white-hat-hacking-ru, настоятельно рекомендую, написано очень доступно, вам определенно стоит её прочитать! --Twitter
Ebrietas
Псевдохакер, поклонник информационной безопасности и участник программ bug bounty
Основы веб-хакинга — отличный гайд для новичков, желающих научиться взламывать веб-приложения в качестве охотников на уязвимости. Все разделы книги сопровождаются примерами реальных публично раскрытых уязвимостей. Фокус на уникальных находках для каждой категории наверняка научит вас нескольким новым трюкам. Это стоит как минимум вдвое больше своей цены.
Энди Грунвальд
Инженер в @trivago
Я рекомендую "Основы веб-хакинга", книгу о поиске уязвимостей и веб-безопасности. Отличная книга. Спасибо @yaworsk leanpub.com/white-hat-hacking-ru #bugbounty --Twitter
Безусловная 100% гарантия счастья без риска от Leanpub
В течение 45 дней с момента покупки вы можете получить 100% возврат средств на любую покупку в Leanpub всего в два клика. Мы обрабатываем заявки на возврат средств вручную, так что этот процесс может занять несколько дней. Смотрите полные условия.
