Table Of ContentАвтор Секретов хакеров
Стюарт Мак-Клар
Предисловие Вильяма С. Бонн,
Саумил Шах
руководителя отдела информационной
безопасности компании Motorola Шрирай Шах
Г
j
АТАКИ и ЗАЩИТА
ventory") or die("FaUed to mysql_se*ect_db.n);// SQL
АТАКИ и ЗАЩИТА
•
ATTACKS and DEFENCE
STUART McCLURE
SAUMILSHAH
SHREERAJ SHAH
A
TT
ADDISON-WESLEY
Boston • San Francisco • New York • Toronto • Montreal
London • Munich • Paris • Madrid
Capetown • Sydney • Tokyo • Singapore • Mexico City
АТАКИ и ЗАЩИТА
СТЮАРТ МАК-КЛАР
САУМИЛ ШАХ
ШРИРАЙ ШАХ
Москва • Санкт-Петербург • Киев
2003
ББК 32.973.26-018.2.75
М15
УДК 681.3.07
Издательский дом "Вильяме"
Зав. редакцией С. Я. Тригуб
Перевод с английского Е. Н. Василенко, Т. В. Тимошок и А. Ю. Шелестова
Под редакцией А. Ю. Шелестова
По общим вопросам обращайтесь в Издательский дом "Вильяме" по адресу:
[email protected], http://www.williamspublishing.com
Мак-Клар, Стюарт, Шах, Саумил, Шах, Шрирай.
М15 Хакинг в Web: атаки и зашита : Пер. с англ. — М. : Издательский дом
"Вильяме", 2003. — 384 с. : ил. — Парал. тит. англ.
ISBN 5-8459-0439-0 (рус.)
Эта книга является полным справочником, в котором содержится самая по-
следняя информация об атаках в Web и защите от них. Эксперты в области обес-
печения безопасности Стюарт Мак-Клар (ведущий автор серии книг Секреты ха-
керов), а также Саумил Шах и Шрирай Шах предлагают описание большого ко-
личества атак и способов защиты. К рассматриваемым в книге технологиям
относятся языки для создания Web-приложений, протоколы, серверы баз данных
и Web-серверы, а также подсистемы обработки платежей и выбора товаров. Кро-
ме того, здесь обсуждаются серьезные изъяны, связанные с адресами URL. Авто-
ры книги показывают, как провести линию между отдельными точками, т.е. как
соединить отдельные этапы атак вместе, реализовав таким образом оптимальную
защиту против них. Удачно изложенный материал и последовательное описание
проверенных методов анализа помогут защититься от потенциальной угрозы на-
рушения безопасности и атак взломщиков.
Как начинающие, так и опытные читатели смогут лучше понять природу атак
в Web и получат новые знания в области защиты от подобных атак.
ББК 32.973.26-018.2.75
Все названия программных продуктов являются зарегистрированными торговыми марками
соответствующих фирм.
Никакая часть настоящего издания ни в каких целях не может быть воспроизведена в какой
бы то ни было форме и какими бы то ни было средствами, будь то электронные или механиче-
ские, включая фотокопирование и запись на магнитный носитель, если на это нет письменного
разрешения издательства Addison-Wesley Publishing Company, Inc.
Authorized translation from the English language edition published by Addison-Wesley Publishing
Company, Inc., Copyright © 2003 by Pearson Education, Inc.
All rights reserved. No part of this book may be reproduced or transmitted in any form or by any
means, electronic or mechanical, including photocopying, recording or by any information storage re-
trieval system, without permission from the Publisher.
Russian language edition published by Williams Publishing House according to the Agreement with
R&I Enterprises International, Copyright © 2003
ISBN 5-8459-0439-0 (рус.) © Издательский дом "Вильяме", 2003
ISBN 0-201-76176-9 (англ.) © Pearson Education, Inc., 2003
Оглавление
Введение 16
Часть I. Будни электронной коммерции 21
Глава 1. Языки программирования для Web: Вавилон XXI столетия 28
Глава 2. Web-серверы и серверы баз данных 58
Глава 3. Выбор товаров и обработка платежей 86
Глава 4. Хакинг протоколов HTTP и HTTPS 106
Глава 5. URL: оружие хакера в Web 117
Часть II. Секреты URL 137
Глава 6. За кулисами Web-сервера 140
Глава 7. Читая между строк 162
Глава 8. Анализ связей Web-узла 178
Часть III. Как они это делают 197
Глава 9. Киберграффити 200
Глава 10. Кражи в электронных магазинах 222
Глава 11. Доступ к базам данных 246
Глава 12. Java: удаленное выполнение команд 255
Глава 13. Перевоплощение 272
Глава 14. Переполнение буфера "на лету" 289
Часть IV. Приемы кунг фу в Web 301
Глава 15. Хакинг в Web: средства автоматизации 303
Глава 16. Вирусы-черви . 325
Глава 17. Обход систем IDS 333
Приложение А. Перечень портов, прослушиваемых серверами баз
данных и Web-серверами 349
Приложение Б. Методы и определения полей протоколов HTTP/1.1
и HTTP/1.0 351
Приложение В. Удаленное выполнение команд 355
Приложение Г. Раскрытие исходного кода, файлов и каталогов 357
Приложение Д. Ресурсы и ссылки 363
Приложение Е. Средства оценки Web-приложений 365
Предметный указатель 367
Содержание
Предисловие 14
Введение 16
"Мы в безопасности: у нас есть брандмауэр" 17
Человек склонен ошибаться 17
Надписи на стене 17
Структура книги 18
Части 18
Главы 19
Несколько заключительных замечаний 20
Благодарности 20
Соавтор 20
Часть I. Будни электронной коммерции 21
Случай из жизни: Web-узел компании Acme Art, Inc. взломан! 22
Глава 1. Языки программирования для Web: Вавилон XXI столетия 28
Введение 29
Языки Web 29
HTML 30
Динамический HTML (DHTML) 32
XML 32
XHTML 33
Perl 33
PHP 36
ColdFusion 38
Страницы ASP 40
CGI 44
Java 48
Использование Java на сервере 53
Резюме 57
-
Глава 2. Web-серверы и серверы баз данных 58
Введение 59
Web-серверы 59
Сервер Apache 59
Internet Information Server компании Microsoft 63
Серверы баз данных 70
Microsoft SQL Server 72
Oracle 78
Резюме 85
Глава 3. Выбор товаров и обработка платежей 86
Введение 87
Эволюция торгового зала 88
Электронная коммерция 90
Подсистемы выбора товаров 91
б Содержание
Назначение и время жизни электронной торговой тележки 91
Сбор, анализ и сравнение выбранных товаров 92
Отслеживание общей стоимости 92
Изменение решения 92
Оформление покупки 92
Реализация электронной тележки 93
Каталог товаров 94
Управление сеансами 94
Интерфейс с базой данных 95
Взаимодействие с платежной подсистемой 95
Примеры неудачно реализованных подсистем выбора товаров 95
Электронная тележка Carello 95
Электронная тележка DCShop 95
Электронная тележка от Hassan Consulting 96
Некоторые другие электронные тележки 96
Обработка платежей 96
Окончательное оформление заказа 96
Форма оплаты 97
Проверка подлинности и защита от мошенничества 97
Выполнение заказа и оформление торгового чека 97
Общие сведения о подсистеме обработки платежей 97
Страница подтверждения заказа 99
Интерфейс системы обработки платежей финансового учреждения 99
Интерфейс базы данных транзакций 100
Пример взаимодействия с системой обработки платежей финансового
учреждения 100
Проблемы реализации подсистемы обработки платежей 103
Интеграция 103
Временная информация 103
Протокол SSL 103
Хранение профилей пользователей 104
PayPal — электронные платежи, доступные каждому 104
Резюме 105
Глава 4. Хакинг протоколов HTTP и HTTPS 106
Введение 107
Протоколы Web 107
HTTP 107
HTTPS (HTTP поверх SSL) 114
Резюме 116
Глава 5. URL: оружие хакера в Web 117
Введение 118
Структура URL 119
URL и передача параметров 121
Кодирование URL 122
Метасимволы 123
Использование в строке URL специальных символов 124
Стандарт кодирования Unicode 125
Неправильное использование кода URL 126
Изъян Unicode 126
Изъян двойного или избыточного декодирования 128
Формы HTML 129
Содержание 7
Анатомия формы HTML 130
Элементы ввода данных 131
Передача параметров с помощью методов GET и POST 132
Резюме 136
Часть II. Секреты URL 137
Случай из жизни: исследование подступов к корпоративным сокровищам 138
Глава 6. За кулисами Web-сервера 140
Введение 141
Компоненты Web-приложений 141
Внешний Web-сервер 142
Среда выполнения Web-приложения 143
Сервер баз данных 144
Взаимодействие компонентов 144
Собственная среда обработки приложений 144
Надстройки и API-функции Web-сервера 144
Отображение URL-адресов и внутреннее перенаправление 145
Перенаправление к внутреннему серверу приложений 146
Примеры 146
Доступ к базам данных 150
Использование собственных API-функций базы данных 150
Примеры 151
Использование стандарта ODBC 151
Использование JDBC 152
Специализированные серверы Web-приложений 152
Идентификация компонентов Web-приложения с помощью URL-адресов 153
Основы идентификации 153
Примеры 154
Дополнительные примеры 156
Дополнительные методы идентификации 158
Примеры 158
Идентификация серверов баз данных 160
Контрмеры 160
Правило 1. Минимизация информации в HTTP-заголовке 160
Правило 2. Предотвращение отправки броузеру сообщений об ошибке 161
Резюме 161
Глава 7. Читая между строк 162
Введение 163
Утечка информации через код HTML 163
Что скрывают броузеры 164
Netscape Navigator — команда ViewOPage Source 164
Internet Explorer — команда View=>Source 165
Где искать информацию 166
Комментарии HTML 166
История внесения изменений 167
Подробности о разработчике или авторе 167
Связь с другими частями Web-приложений 167
Заметки 168
Комментарии серверов Web-приложений 168
Старый закомментированный код 169
Внутренние и внешние гиперссылки 169
8 Содержание
