How to Break Software Security
暫譯: 如何突破軟體安全性

James A. Whittaker, Hugh Thompson

How to Break Software Security
  • 出版商: Addison Wesley
  • 出版日期: 2003-05-19
  • 售價: $1,650
  • 貴賓價: 9.5 折 $1,568
  • 語言: 英文
  • 頁數: 208
  • 裝訂: Paperback
  • ISBN: 0321194330
  • ISBN-13: 9780321194336
  • 相關分類: 資訊安全

    • 立即出貨(限量) (庫存=2)

買這商品的人也買了...

商品描述

How to Break Software Security describes the general problem of software security in a practical perspective from a software tester's point of view. It defines prescriptive techniques (attacks that testers can use on their own software) that are designed to ferret out security vulnerabilities in software applications. The book's style is easy to read and provides readers with the techniques and advice to hunt down security bugs and see that they're destroyed before the software is released.

Accompanying the book is a CD-ROM containing Holodeck, which tests for security vulnerabilities. There are also a number of bug-finding tools, freeware, and an easy-to-use port scanner included on the CD-ROM.

Table of Contents：

(Chapters 1-6 conclude with a “Conclusion,” “Exercises,” and “References.” Chapter 7 concludes with a “Conclusion” and “References” and the Appendices conclude with only “References.”)

Preface.
Dedication.
Chapter Summaries.

I. INTRODUCTION.

1. A Fault Model for Software Security Testing.

Why Security Testing is Different.

A Fault Model for Security Vulnerabilities.

Security Concerns and the How to Break Software Fault Model.

Creating an Attack Plan.

A Note on Format.

II. CREATING UNANTICIPATED USER INPUT SCENARIOS.

2. Attacking Software Dependencies.

First Attack: Block access to libraries.

Second Attack: Manipulate the application's registry values.

Third Attack: Force the application to use corrupt files.

Fourth Attack: Manipulate and replace files that the application creates, reads from, writes to or executes.

Fifth Attack: Force the application to operate in low memory, disk space and network availability conditions.

Summary: A Checklist for Battle.

3. Breaking Security through the User Interface.

First Attack: Overflow input buffers.

Second Attack: Examine all common switches and options.

Third Attack: Explore escape characters, character sets and commands.

Summary: A Checklist for Battle.

III. DESIGN AND IMPLEMENTATION ATTACKS.

4. Attacking Design.

First Attack: Try common default and test account names and passwords.

Second Attack: Use Holodeck to expose unprotected test APIs.

Third Attack: Connect to all ports.

Fourth Attack: Fake the source of data.

Fifth Attack: Create loop conditions in any application that interprets script, code or other user supplied logic.

Sixth Attack: Use alternate routes to accomplish the same task.

Seventh Attack: Force the system to reset values.

Summary: A Checklist for Battle.

5. Attacking Implementation.

First Attack: Get between time of check and time of use.

Second Attack: Create files with the same name as files protected with a higher classification.

Third Attack: Force all error messages.

Fourth Attack: Use Holodeck to look for temporary files and screen their contents for sensitive information.

Summary: A Checklist for Battle.

IV. APPLYING THE ATTACKS.

6. Putting it All Together.

Pre-Attack Preparations.

Opponent#1: Microsoft Windows Media Player 9.0 (Windows).

Opponent#2: Mozilla 1.2.1 (Windows).

Opponent#3: OpenOffice.org 1.0.2 (Linux).

V. CONCLUSION.

7. Some Parting Advice.

How Secure is Secure?

Mining Gold from Bug Databases.

Final Words of Wisdom.

APPENDICES.

Glossary of Coding, Testing, and Software Security Terms.
Appendix A. Using the Tools on the Accompanying CD.

Surveying the Tools.

Holodeck.

Port Scanner.

Appendix B. Software's Invisible Users.

Where Errors Slip In.

The Human User.

The Operating System User.

The API User.

The File System User.

Index.

商品描述(中文翻譯)

《如何破解軟體安全》從軟體測試者的角度，以實務的視角描述了軟體安全的一般問題。它定義了指導性技術（測試者可以用於自己軟體的攻擊），旨在發現軟體應用中的安全漏洞。這本書的風格易於閱讀，為讀者提供了尋找安全漏洞的技術和建議，確保在軟體發布之前將其消除。

本書附帶一張CD-ROM，包含Holodeck，用於測試安全漏洞。CD-ROM上還包括多個尋找漏洞的工具、免費軟體以及一個易於使用的端口掃描器。

**目錄：**
（第1-6章以「結論」、「練習」和「參考文獻」結束。第7章以「結論」和「參考文獻」結束，附錄僅以「參考文獻」結束。）

**前言。**
**致謝。**
**章節摘要。**

**I. 介紹。**
**1. 軟體安全測試的故障模型。**
為什麼安全測試是不同的。
安全漏洞的故障模型。
安全問題與《如何破解軟體故障模型》。
制定攻擊計劃。
格式說明。

**II. 創建意外的用戶輸入場景。**
**2. 攻擊軟體依賴性。**
第一次攻擊：阻止訪問庫。
第二次攻擊：操縱應用程序的註冊值。
第三次攻擊：強迫應用程序使用損壞的文件。
第四次攻擊：操縱和替換應用程序創建、讀取、寫入或執行的文件。
第五次攻擊：強迫應用程序在低記憶體、磁碟空間和網路可用性條件下運行。
摘要：戰鬥檢查清單。

**3. 通過用戶界面破解安全。**
第一次攻擊：溢出輸入緩衝區。
第二次攻擊：檢查所有常見開關和選項。
第三次攻擊：探索轉義字符、字符集和命令。
摘要：戰鬥檢查清單。

**III. 設計和實施攻擊。**
**4. 攻擊設計。**
第一次攻擊：嘗試常見的默認和測試帳戶名稱及密碼。
第二次攻擊：使用Holodeck暴露未受保護的測試API。
第三次攻擊：連接所有端口。
第四次攻擊：偽造數據來源。
第五次攻擊：在任何解釋腳本、代碼或其他用戶提供邏輯的應用程序中創建循環條件。
第六次攻擊：使用替代路徑完成相同任務。
第七次攻擊：強迫系統重置值。
摘要：戰鬥檢查清單。

**5. 攻擊實施。**
第一次攻擊：在檢查時間和使用時間之間插入。
第二次攻擊：創建與受更高分類保護的文件同名的文件。
第三次攻擊：強迫所有錯誤消息。
第四次攻擊：使用Holodeck查找臨時文件並篩選其內容以獲取敏感信息。
摘要：戰鬥檢查清單。

**IV. 應用攻擊。**
**6. 將所有內容整合。**
攻擊前準備。
對手#1：Microsoft Windows Media Player 9.0（Windows）。
對手#2：Mozilla 1.2.1（Windows）。
對手#3：OpenOffice.org 1.0.2（Linux）。

**V. 結論。**
**7. 一些告別建議。**
安全有多安全？
從漏洞數據庫中挖掘金礦。
最後的智慧之言。

**附錄。**
**編碼、測試和軟體安全術語的詞彙表。**
**附錄A. 使用隨附CD上的工具。**
調查工具。
Holodeck。
端口掃描器。
**附錄B. 軟體的隱形用戶。**
錯誤是如何進入的。
人類用戶。
操作系統用戶。
API用戶。
檔案系統用戶。
**索引。**

類似商品

最後瀏覽商品 (3)