上野宣

《基礎篇》
第1｜何謂漏洞診斷
說明何謂漏洞診斷。我們將針對網路及網頁應用程式的漏洞為何，以及如何去找出其漏洞的手法。

第2｜診斷所需的HTTP基礎知識
針對網路上最為廣泛應用的通訊協定：HTTP進行解說。
我們將學習到名為HTTP的通訊協定之機制，以及以傳送訊息進行溝通之結構等。

第3｜網頁應用程式的漏洞
針對網頁應用程式的漏洞進行解說。說明網頁應用程式遭受攻擊的方式，以及有哪些攻擊的種類。

第4｜漏洞診斷的流程
說明網頁應用程式漏洞診斷的流程。我們將說明在實施診斷前需要做什麼準備，以及該如何進行漏洞診斷、其實施步驟為何。

第5｜實作練習環境與其準備
針對漏洞診斷所需之診斷工具、網頁瀏覽器、實作練習環境的設定等進行解說。

《實作篇》
第6｜以自動診斷工具實施漏洞診斷
介紹自動診斷工具「OWASP ZAP。我們將學習到如何使用自動診斷工具實施漏洞診斷之基礎程序、OWASP ZAP的基本操作、漏洞診斷的實施方法等。

第7｜以手動診斷輔助工具實施漏洞診斷
介紹手動診斷輔助工具「Burp Suite。我們將學習到使用Burp Suite來實施漏洞診斷的步驟、漏洞診斷時的判斷標準、診斷清單的製作方法、Burp Suite 的基本操作、各種工具的使用方法、漏洞診斷的實施方法等。

第8｜診斷報告書的製作
說明漏洞診斷實施後結果來製作、彙整診斷報告書之中，所該記載事項為何及各項漏洞的報告方式、風險評估的評比方式等進行解說。

第9｜相關法規與準則
針對漏洞診斷相關法律、診斷時的規則及診斷結果的處置方式、安全相關標準與準則等來進行解說。

附錄「實作練習環境的設定（Oracle VM VirtualBox）
介紹使用可作為實作練習環境之免費軟體Oracle VM VirtualBox的設定方法。

 

序

　　隨著網頁應用程式的問世及盛行，也同時成為駭客攻擊的主要目標。不過，防守方也並非束手無策的待宰羔羊，用以製作安全的網頁應用程式之製作手法也因應地被確立出來了。只要依循安全的網頁應用程式的製作方式並加以實踐，的確可達到防範攻擊的目的，但遭到攻擊而受災的網站仍層出不窮。這些網站是否有依循真正安全的做法來執行呢？而且，是否有經過驗證嗎？

　　本書著墨於找出漏洞（Vulnerability）所需的手法，也就是針對「漏洞診斷」一事，來進行講解。「漏洞」乃為程式BUG的一種，而BUG之中可被拿來惡用者，則稱之為漏洞。此外，存在著此等脆弱性的部份，也被稱作「安全性漏洞」。所謂的「漏洞診斷」，乃用於確認並找出該系統的漏洞存在於哪裡的一種技術。也就是說，漏洞診斷是用來找出該系統中能夠作為濫用的BUG的一種技術。更進一步，透過漏洞診斷，還可找出安全功能上有所不足的部份等。此外，漏洞診斷也有人稱之為「安全診斷」。

　　目前，漏洞診斷作業多半都是由網路保全公司來實施的，故很容易被誤解為必須要由具備有名為漏洞診斷之特殊技術，且熟習此道的安全專家，才可實施漏洞診斷作業。然而實際上並非如此。只要知悉其手法，並學習執行方式，任何人都可以駕馭此等技術的。更進一步，若由熟知此系統規格的開發端來進行漏洞診斷，比起對該系統完全不熟悉的安全專家，甚至會有表現更加出色的可能性存在。

　　藉由本書，讀者可學習到執行網頁應用程式之漏洞診斷所需要的基礎知識、進行診斷所需要的工具，以及如何才能有效率地來找出漏洞之診斷手法、報告書的撰寫方法等。衷心希望本書能夠帶給網頁應用程式開發人員、欲對所委外開發的系統執行驗收檢查的業主、想要學習網頁應用程式漏洞診斷技術的學生等，眾多工作上、生活上與網路息息相關的人們帶來助益。