Miłosz M., Bąbol M. Zagrożenia i ochrona aplikacji internetowych

Podręcznik. — Lublin: Politechnika Lubelska, 2014. — 153 s. — (Współczesne Technologie Informatyczne). — ISBN 978-83-7947-074-7.Właściwości aplikacji internetowej, takie jak: globalny dostęp do niej, konieczność stosowania ogólnie dostępnych standardów, złożoność środowiska pracy, niedoskonałości protokołów komunikacyjnych, powodują, że są one szczególnie podatne na zagrożenia związane z utratą dostępności, poprawności i poufności informacji. A te trzy atrybuty informacji powinno się strzec w każdym systemie informatycznym.
Celem książki jest zaznajomienie czytelnika z realnymi zagrożeniami występującymi w sieci Internet w stosunku do aplikacji internetowych oraz wskazanie na praktyczne metody ich ochrony oraz zalecane praktyki stosowane przez ich twórców.
Praca ta skupia się przede wszystkim na zagadnieniach programistycznych (PHP, SQL, (X)HTML, Java Script, CSS itp.) i administracyjnych (serwer HTTP, serwer BD, interpreter PHP). Przybliża także zagrożenia, płynące z niewłaściwego projektowania interfejsu i antyspołecznych zachowań użytkowników aplikacji. Praca ilustruje niebezpieczeństwo na rzeczywistych przykładach, wskazuje słabe punkty i przedstawia praktyczne sposoby przeciwdziałania zagrożeniom. Zaproponowany podział zagadnień jest umowny, a przedstawione techniki mają charakter uniwersalny i mogą być ze sobą łączone różnorodny sposób.
Zaznaczyć należy, że analizie poddawane są wybrane (często też najpopularniejsze) technologie wykorzystywane w przemyśle internetowym. Każda spośród nich posiada swoje alternatywy, w których na ogół spotyka się problemy tego samego rodzaju. Zgłębienie podatności wszystkich technologii internetowych byłoby Prawdopodobnie niemożliwe, ponieważ każdego dnia pojawiają się nowe rozwiązania i związane z nimi problemy bezpieczeństwa.Wstęp.
Aplikacje internetowe i ich bezpieczeństwo.
Pojęcie aplikacji internetowej i jej bezpieczeństwa.
Ataki na aplikację internetową i ich przyczyny.
Podatność aplikacji internetowych na atak.
Konsekwencje ataków na aplikacje internetowe.
Ogólny schemat ataku.
Konfiguracja środowiska aplikacji — zagrożenia i ochrona.
Typowe środowiska uruchomieniowe aplikacji internetowych.
Ataki na serwer http i ochrona przed nimi.
Protokół HTTP i HTTPS.
Serwer bazy danych i jego ochrona.
Problemy konfiguracji środowiska PHP.
Ujawnienie informacji poufnych.
Wyciek informacji.
Ujawnienie plików źródłowych.
Skanowanie zasobów i ochrona.
Google hacking.
Wstrzykiwanie treści i kodu.
Wprowadzenie niechcianych treści do aplikacji.
Cross-Site Scripting.
Cross-Site Request Forgery.
Wstrzyknięcie poleceń SQL.
Wprowadzenie kodu skryptu.
Manipulacja danymi przesyłanymi.
Uwierzytelnienie i utrzymanie sesji.
Ataki na proces uwierzytelniania użytkownika.
Obrona przed atakami pozyskującymi hasła.
Typowe ataki na sesję i ochrona przed nimi.
Literatura.