API 安全技術與實戰

錢君生，科大訊飛集團安全技術專家，10餘年行業工作經驗，主要負責安全平台研發、DevSecOps、安全防護體系、團隊建設等工作，具備豐富的互聯網安全一線實戰經驗，曾編寫開源網絡安全圖書《Burp Suite實戰指南》。

楊明，資深技術專家，10年以上基礎架構安全、虛擬化安全、運維安全實戰經驗，曾多次在全國、省級信息安全比賽中獲獎，目前就職於某金融機構信息技術中心，任技術經理。

韋巍，網絡工程、系統集成及網絡安全技術專家。
長期從事系統集成、網絡安全的教學和科研工作，理論基礎紮實，實戰經驗豐富。
完成軟件著作權數十項，參與多本高校網絡工程教材的編寫工作。
《白帽子安全開發實戰》融合了信息安全行業技術專家10多年一線工作經驗，介紹了常見的滲透測試工具與防禦系統的原理、開發過程以及使用方法。
語言簡練、內容實用、注重實踐，講解透徹，且免費提供所有源碼。
難點處配有二維碼視頻，使讀者身臨其境，迅速、深入地掌握各種經驗和技巧，真正提高安全開發能力。

出版說明
前言

第1篇基礎篇

第1章API的前世今生
1.1什麼是API
1.2 API的發展歷史
1.2.1 Web技術發展的4個階段
1.2.2現代API的類型劃分
1.3現代API常用的協議和消息格式
1.3.1 REST成熟度模型
1.3.2 RESTful API技術
1.3.3 GraphQL API技術
1.3.4 SOAP API技術
1.3.5 gRPC API技術
1.3.6類XML-RPC及其他API技術
1.4 Top N互聯網企業API使用現狀
1.4.1 API開放平台發展歷程
1.4.2 API在騰訊的使用現狀
1.4.3 API在百度的使用現狀
1.5小結

第2章API安全的演變
2.1 API安全現狀
2.1.1什麼是API安全
2.1.2 API安全問題主要成因
2.1.3 API安全面臨的主要挑戰
2.2 API安全漏洞類型
2.2.1常見的API安全漏洞類型
2.2.2 OWASP API安全漏洞類型
2.3 API安全前景與趨勢
2.4小結

第3章典型API安全漏洞剖析
3.1 Facebook OAuth漏洞
3.1.1 OAuth漏洞基本信息
3.1.2 OAuth漏洞利用過程
3.1.3 OAuth漏洞啟示
3.2 PayPal委託授權漏洞
3.2.1委託授權漏洞基本信息
3.2.2委託授權漏洞利用過程
3.2.3委託授權漏洞啟示
3.3 API KEY洩露漏洞
3.3.1 API KEY洩露漏洞基本信息
3.3.2 API KEY洩露漏洞利用過程
3.3.3 API KEY洩露漏洞啟示
3.4 Hadoop管理API漏洞
3.4.1 Hadoop管理API漏洞基本信息
3.4.2 Hadoop管理API漏洞利用過程
3.4.3 Hadoop管理API漏洞啟示
3.5 Apache SkyWalking管理插件GraphQL API漏洞
3.5.1 GraphQL API漏洞基本信息
3.5.2 GraphQL API漏洞利用過程
3.5.3 GraphQL API漏洞啟示
3.6小結

第4章API安全工具集
4.1工具分類
4.2典型工具介紹
4.2.1 API安全小貼士
4.2.2 Burp Suite工具
4.2.3 Postman工具
4.2.4 SoapUI工具
4.3其他工具介紹
4.3.1自動化工具
4.3.2經典安全工具
4.3.3輔助類工具及綜合類工具
4.4小結

第5章API滲透測試
5.1 API滲透測試的基本流程
5.1.1 API滲透測試的關鍵點
5.1.2 API滲透測試注意事項
5.2 API滲透測試步驟
5.2.1信息收集
5.2. 2漏洞發現
5.2.3漏洞利用
5.2.4報告撰寫
5.3 API滲透測試的特點
5.3.1 RESTful API類
5.3.2 GraphQL API類
5.3.3 SOAP API類
5.3.4 RPC及其他API類
5.4 API安全工具典型用法
5.4.1 SoapUI+Burp Suite使用介紹
5.4.2 Astra工具使用介紹
5.5小結

第2篇設計篇

第6章API安全設計基礎
6.1 API安全設計原則
6.1.1 5A原則
6.1.2縱深防禦原則
6.2 API安全關鍵技術
6.2.1 API安全技術棧
6.2.2身份認證技術
6.2.3授權與訪問控制技術
6.2.4消息保護技術
6.2.5日誌審計技術
6.2.6威脅防護技術
6.3常用場景安全設計
6.3.1 API安全中南北向流量與東西向流量的概念
6.3.2 API網關與南北向安全設計
6.3.3微服務與東西向安全設計
6.4小結

第7章API身份認證
7.1身份認證的基本概念
7.1.1身份認證在API安全中的作用
7.1.2身份認證技術包含的要素
7.2常見的身份認證技術
7.2.1基於HTTP Basic基本認證
7.2.2基於API KEY簽名認證
7.2.3基於SOAP消息頭認證
7.2.4基於Token系列認證
7.2.5基於數字證書認證
7.3常見的身份認證漏洞
7.3.1針對回調URL的攻擊
7.3.2針對客戶端認證憑據的攻擊
7.3.3基於JSON數據結構的攻擊
7.3.4針對OpenID Connect授權範圍的攻擊
7.4業界最佳實踐
7.4.1案例之微軟Azure雲API身份認證
7.4.2案例之支付寶第三方應用API身份認證
7.5小結

第8章API授權與訪問控制
8.1授權與訪問控制的基本概念
8.1.1授權的含義
8.1.2訪問控制的含義
8.2 API授權與訪問控制技術
8.2.1 OAuth 2.0協議
8.2.2 RBAC模型
8.2.3其他授權與訪問控制技術
8.3常見的授權與訪問控制漏洞
8.3.1 OAuth 2.0協議相關漏洞
8.3.2其他類型的授權或訪問控制漏洞
8.4業界最佳實踐
8.4.1案例之OAuth在百度開放雲平台的使用
8.4.2案例之微信公眾平台第三方平台API授權訪問
8.5小結

第9章API消息保護
9.1傳輸層消息保護
9.1.1 TLS安全特性
9.1.2 TLS握手過程
9.1.3 TLS證書使用
9.2應用層消息保護
9.2.1 JWT及JOSE相關技術
9.2.2 Paseto技術
9.2.3 XML及其他格式消息保護
9.3常見的消息保護漏洞
9.3.1 JWT校驗機制繞過漏洞
9.3.2 JWT加解密和算法相關漏洞
9.3.3其他消息保護類型的漏洞
9.4業界最佳實踐
9.4.1案例之百度智能小程序OpenCard消息保護
9.4.2案例之微信支付消息保護
9.5小結

第3篇治理篇

第10章API安全與SDL
10.1 SDL簡介
10.1.1 SDL的基本含義
10.1.2 SDL對API安全的意義
10.2 SDL之API安全培訓