安全漏洞追踪

博文视点

于 2008-10-08 10:25:00 发布

阅读量2.6k

点赞数

文章标签：测试 microsoft 工作微软网络服务器

本文链接：https://blog.csdn.net/broadview2006/article/details/3031750

版权

图书信息

　　作　者：（美）盖弗（Gallagher,T.），（美）詹弗瑞斯（Jeffries,B.），（美）兰德（Landauer,L.）著，钟力，朱敏，何金勇译

　　出版社：电子工业出版社

　　出版时间： 2008-11-1

　　页　数： 532页

　　开　本： 16开

　　I S B N ： 9787121073717

　　分类：图书 >> 计算机/网络 >>网络安全

　　定价：￥65.00

宣传语

　　•一本难得的面向安全测试的好书

　　•我们必须培养一类新型的测试员——一种能像恶意攻击者那样思考的人——一种基于白盒和黑盒测试基础的通过攻击来追踪安全漏洞的人。——微软主席兼软件体系结构首席执行官比尔•盖茨

内容简介

　　这是一本针对安全测试的书籍，同时也是一本十分适合信息安全研究人员的优秀参考书。本书共20章，其中前3章讨论了安全测试的基础，包括如何从攻击者的角度去思考测试方法，以及如何进行威胁建模和入口点查找。第4章至第19章则通过详细的示例与代码，分别深入地阐述了网络流量和内存数据的操控方法，包括缓冲区溢出、格式化字符串、HTML脚本、XML、规范化、权限、拒绝服务、托管代码、SQL注入和ActiveX再利用等安全漏洞追踪方法，以及在二进制代码条件下查找安全漏洞的逆向工程技术。第20章论述了合理报告安全漏洞的程序，并提出了一个负责的安全漏洞公开流程。最后，本书还提供了一个适于初学者的测试用例列表。

译者序

　　本书是一本难得的面向安全测试的好书，凝聚了作者在该领域渊博的知识和丰富的经验。前三章是本书讨论内容的基础，第1章提出了安全测试的基本思路和方法，认为从攻击者的角度去思考如何进行安全测试，是目前最有效的方法；第2章讨论了威胁模型在安全测试中的关键作用，指出理解软件工作机制和数据流程图，列举数据的入口点和退出点，分析潜在的威胁和数据处理点，是威胁建模的重要内容；第3章则介绍了常见的入口点及其查找方法。第4章至第19章分别针对不同的主题进行深入的阐述，内容涉及如何对网络流量和内存等数据进行操控，缓冲区溢出、格式化字符串、HTML脚本、XML、规范化、权限、拒绝服务、托管代码、SQL注入和ActiveX再利用中的安全漏洞及其测试方法，以及怎样在二进制代码条件下进行逆向工程来查找安全漏洞。第20章讨论了合理报告安全漏洞的程序，并提出了一个负责的漏洞公开流程。最后，附录A和附录B给出了本书引用的相关工具列表和适于初学者的测试用例列表。

　　本书最大的特点就是“广”和“实”。它探讨了几乎所有的软件存在安全漏洞的地方，覆盖面非常宽；而且，对每一个主题都进行了深入的分析，给出明确的指导和具体的实例。该书不但能够很好地直接用于安全测试，同时对于从事信息安全研究的技术人员来说，也不失为一本优秀的参考书。

　　我们成立了一个10人组成的团队来翻译这本书。除前言和第3章由大家共同翻译之外，王中锋翻译了第4、5、6章，朱敏翻译了第7、8章，唐云翻译了第9、12章，何金勇翻译了第10、11章，阮强翻译了第12、13、14章，李蒙翻译了第15章，张金祥翻译了第16、17章，张志鹏翻译了第18、19章，韦朋辉翻译了附录A和附录B，我翻译了第1、2、20章，并对本书进行了全文校对。在这里，我十分感谢大家的辛勤劳动，正是由于每个人的努力付出，本书的翻译工作才得以顺利完成。在翻译过程中，我尽量兼顾每位成员所擅长的研究方向和工作经验，但由于本书非常全面，有些领域我们涉猎不深，再加上时间紧迫，水平有限，所以翻译难免有误，敬请读者谅解。另外，在本书的翻译过程中，得到了出版社的大力支持，在此表示衷心的感谢。

　　钟力

　　2008年8月8日

前言

　　你可能想知道微软为什么要出版这样一本关于安全测试的书，因为加强软件安全是一件非常困难的事情。当然，微软已经遇到过相当多的软件安全问题，因而有大量的经验供测试人员参考。在2002年可信计算计划被提出之前，我们就已经在微软工作了。自微软实施该计划以来，我们已经看到微软在处理安全问题方面的重大改变。现在，安全问题已经不仅仅是安全专家的职责，已经成为了我们每一个人的责任。这本具有创见性的关于软件安全测试的书，源于我们在微软的工作经验以及为开发出用户购买后能持续安全可靠运行的软件而做出的努力。

　　应用软件的安全并不仅仅局限于使用安全技术的功能特征，以及像加密和账户管理这样的功能特征。我们必须认真考虑一个产品的每个功能特征的安全。鉴于此，在微软工作的每个项目管理人员、开发人员、测试人员和相关技术人员都有责任保证软件尽可能安全。本书认为安全是每个人的责任，并且重点向测试人员提供用来发现软件功能安全漏洞的信息，这些安全漏洞都可能是难以发现的。

　　本书没有阐述这些漏洞应该如何修补。其他的一些书，如Michael Howard和David LeBlanc所写的《Writing Secure Code》（微软出版社，2002年）是一本从编写代码的角度阐述如何修补和防止安全漏洞的优秀参考书。

　　微软因为发布了含有安全缺陷的软件而经历了一些惨痛的教训，后来微软不得不通过安全更新来修补这些缺陷。本书描述了现在许多软件中存在的安全问题，并包含了一些已经带来损失的漏洞信息，以及我们在产品发布前自己发现的一些漏洞信息。我们希望你能从我们的经验中学到知识，从而在发布自己的软件时防止产生类似的安全漏洞。

　　在本书中，我们把能够被另外一名用户控制的数据称为“攻击者已控数据（Attacker Controlled Data）”。我们这么做，是要让你不仅意识到应用程序所操作的数据有可能来自攻击者，还应该树立攻击者的意识，认识到你也能控制这些数据。我们鼓励你不但要像攻击者那样带有恶意的想法去思考，而且在测试软件时还要扮演攻击者，攻击你自己的系统，以此来帮助公司发现软件的安全漏洞。

　　本书的目的就是为了促进你的测试工作，能够开发出更好的软件，而不是让你攻击其他人的软件，或者利用攻击者的恶意想法或技术去分析不属于你测试范围的软件。本书是一本为白帽黑客而写的书。

　　软件安全一直在快速地发展。未来我们将面临今天所不知道的危险攻击。但是无论如何，本书讨论的以攻击者的角度、采用攻击者的方法进行安全测试的步骤，并不会发生太大的改变。

　　本书的读者对象

　　软件测试人员是此书的主要读者。下面列出的这些读者朋友因其工作性质，都能从本书中受益：

　　 软件测试人员：测试人员有责任全面了解他们所测试的功能特征工作原理的技术细节。软件测试时会用到这些技术细节。我们为测试人员展示了如何利用功能特性的测试知识来完成安全测试。我们在微软的测试机构工作过，曾经花费了几年的时间与软件测试人员在一起，帮助他们更好地理解如何在已进行功能特性测试的地方进行安全测试。在撰写本书的过程中，我们已向功能特性测试人员和安全专家寻求了反馈意见。

　　 软件开发人员：尽管此书并没有介绍如何构建和编写安全代码的知识，但它的确介绍了如何攻击软件。软件开发人员应该对这方面比较感兴趣，因为准确地理解攻击是如何进行的，开发人员就能更好地保护他们的应用软件。软件开发人员也能学到特定测试领域的知识，然后要求安全测试人员开发适用于这些测试领域的代码。

　　 学生：现在许多学校是不会讲授如何进行安全测试的相关知识。如果学生毕业以后，从事软件和信息技术领域的工作，可能会因为没有接受过安全测试的教育而感到手足无措。阅读此书的学生能够在设计、写作和配置安全软件等方面获取更多的技能。这些技能有助于他们找到工作并胜任工作。

　　 渗透测试人员：专业的渗透测试人员（也被称为安全测试专家）对于此书所要讨论的许多主题也许已经十分了解。很可能，书中一大段文章可以引起渗透测试人员探寻未知领域的兴趣。这本书包含了客户端和服务器应用程序。我们从该领域专家那里获知了信息和建议，这些专家可以是我们所讨论的某些技术的提出者，也可以是专注于安全测试技术的专家。

　　本书的组织结构

　　你可以按照章节顺序阅读此书。然而，本书中的许多章节都可以独立成篇。前三章介绍了此书的背景信息，是其他章节的基础。第4章“成为恶意的客户端”和第5章“成为恶意的服务器”解释了网络流量是如何被操控的，我们平时所讨论的许多攻击行为都需要操控网络流量。第8章“缓冲区溢出及堆栈/堆操纵”和第9章“格式化字符串攻击”一并阐述了攻击者是如何通过直接操控内存来执行任意代码的。第18章“ActiveX再利用攻击”和第19章“其他再利用攻击”阐述了各种各样的再利用攻击。在书的最后，你会看到一系列工具（附录 A）和一份安全测试用例列表（附录 B），其中包含了一些适用于初学者的基本测试用例。

　　书中绝大部分章节在开始处都有一个高度概括的概要，在结尾处会总结一些精炼的测试技巧。有些章节也包含了一些走查，你可以在自己的计算机上尝试这些步骤。

　　系统需求

　　你需要配置以下的硬件和软件来编译和运行书中提到的代码实例。

　　 Microsoft Windows XP with Service Pack 2, Microsoft Windows Server 2003 Service Pack 1或更高补丁版本

　　 Microsoft Visual Studio 2003标准版或Microsoft Visual Studio 2003专业版或以后版本

　　 600 MHz 奔腾或兼容处理器（推荐1GHz 奔腾处理器）

　　 192 MB 内存（推荐256 MB或更高）

　　 显示器（800 × 600或更高的分辨率）至少采用256色（推荐1024 × 768，16位色）

　　 微软鼠标或其兼容设备

　　技术更新

　　因为书中涉及的相关技术是不断更新的，更新的内容将被放在微软出版社的技术更新网页上，地址如下：

　　http://www.microsoft.com/mspress/updates/

　　定期访问该页面可以获取Visual Studio 2005和其他技术方面的更新。

　　代码实例及附带内容

　　本书包含了一些预先设计好的代码实例、附带工具和程序。书中讨论的所有代码实例和附带内容能在以下地址下载：

　　http://www.microsoft.com/mspress/companion/0-7356-2187-X/

　　本书技术支持

　　我们已尽最大努力来确保本书及附带内容的正确性。微软出版社通过以下网址为本书及附带内容提供技术支持：

　　http://www.microsoft.com/learning/support/books

　　问题与评论

　　如果你对本书及附带内容有任何评论、问题或建议，或者你的问题在上述网址中没有找到解答，请发E-mail至bn@phei.com.cn。

致谢

　　我们非常感谢为本书内容提供了想法、技术见解和其他反馈意见的人士。以下人士慷慨地贡献了他们的时间无偿审阅了此书的部分章节，这些人士是：Atin Bansal、Srijan Chakraborty、Shawn Farkas、Stephen Fisher、Greg Foltz、Raul Garcia、Greg Hartrell、Eric Jarvi、Chris Jeuell、Hidetake Jo、Akhil Kaza、Ariel Kirsman、Alex Krawarik、Secure Windows Initiative Team的John Lambert、Web Services Team的John Lambert、Ivan Medvedev、Bala Neerumalla、Maurice Prather、Walter Pullen、Yong Qu、David Ross、Micky Snir、Peter Torr、Ambrose Treacy、Don Willits和Oleh Yuschuk。

　　以下人士的付出应受到特别的赞誉：微软安全响应中心（Microsoft Security Response Center）的Christopher Edwards认真审阅了本书，并对第20章“报告安全漏洞”提供了反馈，Jason Geffner校对了第17章“观察及逆向工程”并提出了一些合理的建议。Sean Hunt和Mark Iler超出我们预期地审阅了本书的更多章节并提供了反馈意见。Alan Myrvold认真地审阅了本书几乎每一页，他同时也提出了很多评论和建议，提供了一些附加的信息资源。

　　本书谈到了两个由微软员工编写但未公开的工具，他们慷慨地允许我们把这些工具提供到本书的对应网址上。其中，MITM由Jiri Richter开发、ObjSD由Vikram Subramanian开发。这两个工具都十分有用。再次感谢他们允许我们公开这两个工具。同样感谢Mark Russinovich对Sysinternals工具问题的解答，以及对进程浏览器工具的细致修改。

　　特别感谢Imran Akhtar、Matt Cohen、 Grant George、David Hansen、 David LeBlanc、Mark Mortimore、Tara Roth和Matt Thomlinson，他们全力支持了我们的测试活动，为本书提出了宝贵建议。David LeBlanc更是帮助我们描述了安全测试的重要性。感谢Ben Ryan(策划编辑)、Kathleen Atkins（项目编辑）、Christina Palaia（文字编辑）、William Teel（美工）和Chris Weber（技术编辑），为了使本书更易懂、语法更准确、技术更精确，他们做了大量的工作。