作者在书中提到了很多安全工具,例如安全编程接口,漏洞扫描工具,在线恶意网址黑名单等,我称这些为干货,整理一下,以备后用。
第二章-浏览器安全
PhishTank是互联网上免费提共恶意网址黑名单的组织之一,它的黑名单由世界各地的志愿者提供,更新频繁。
网址:https://www.phishtank.com/
Google也提供SafeBrowsingAPI,可以获取恶意网址库,但是在国内可能用不了。
网址:https://developers.google.com/safe-browsing/
第三章-跨站脚本安全(XSS)
xss共计平台,收集汇总很多不同功能的xss payload,可用于演示xss危害和方便渗透测试,当然也可以,你懂得。
Attack API
总结了很多能够直接使用的XSS payload,归纳为API方式。GitHub地址:https://github.com/appknox/attackapi
BeEF:
集成在metasploit框架的xss攻击平台,每个被XSS攻击的用户都将出现在后台,后台控制这可以控制这些浏览器的行为,并可以通过XSS向这些用户发送命令。
XSS-Proxy:
通过嵌套iframe的方式可以实时的远程控制被xss攻击的浏览器。
调适javascript
FireBug,常用的脚本调适工具
Fiddler,本地代理服务器,会监控所有的浏览器请求,并有能力在浏览器请求中插入数据。支持脚本编程。
HttpWatch,一个商业软件,以插件形式内嵌在浏览器中。能够监控所有的浏览器请求,但不能调试javascript。
输出检查:
输出检查是最直接的堵住xss漏洞的地方,OWASP ESAPI中有一个安全的JavaScriptEncode的实现,非常严格,地址是:https://www.owasp.org/index.php/Category:OWASP_Enterprise_Security_API#tab=Downloads
第七章-注入攻击
sqlmap可以自动化检测sql注入漏洞
第九章-认证与会话管理
OpenID是一个开放的单点登录系统
第十章-访问控制
OAuth是一个在不提供用户名和密码的情况下,授权第三方应用访问Web资源的安全协议。OpenID解决的是认证问题,OAuth则更注重授权。
第十一章-加密算法与随机数
Aircrack是一个与802.11标准的无线网络分析有关的安全软件,主要功能有:网络侦测,数据包嗅探,WEP和WPA/WPA2-PSK破解。地址是:https://www.aircrack-ng.org/
第十三章-应用层拒绝服务攻击
对抗SYN flood的主要措施有SYN Cookie/SYN Proxy、safereset等算法。SYN Cookie的主要思想是为每一个IP地址分配一个"Cookie",并统计每个IP地址的访问频率。如果在短时间内收到大量的来自同一个IP地址的数据包,则认为受到攻击,之后每个来自这个地址的包将被丢弃。
实现变换IP地址:
代理猎手是一个常用的搜索代理服务器的工具。
AccessDiver已经自动化的实现了变换IP地址的攻击,它可以批量导入代理服务器地址,然后通过代理服务器在线暴力破解用户名和密码。
第十七章-安全开发流程(SDL)
代码安全审计工具
BOON、BugScam、Bugscan、CodeAssure等
web安全扫描工具
IBM AppScan、Web Inspect、w3af等
第十八章-安全运营
入侵检测
ModSecurity是Apache的一个Module,能获取到所有访问Apache Httpd Serve日的请求,并根据自己的规则对这些请求进行匹配,以检测哪些请求存在攻击行为。
PHPIDS是为PHP应用设计的一套入侵检测系统,它与应用代码的结合更为紧密,需要修改应用代码才能使用他。