Web之困：現代Web應用安全指南

譯者序
前言
第1章 Web應用安全
1.1 信息安全速覽
1.1.1 正統之道的尷尬
1.1.2 進入風險管理
1.1.3 分類學的啟發
1.1.4 實際的解決之道
1.2 Web的簡明歷史
1.2.1 史前時期的故事：1945～1994年
1.2.2 第一次瀏覽器大戰：1995～1999年
1.2.3 平淡期：2000～2003年
1.2.4 Web 2.0和第二次瀏覽器大戰：2004年之后
1.3 風險的演化
1.3.1 用戶作為安全風險的一個環節
1.3.2 難以隔離的Web運行環境
1.3.3 缺乏統一的格局
1.3.4 跨瀏覽器交互：失敗的協同
1.3.5 客戶端和服務器端界限的日益模糊

第一部分 對Web的解剖分析
第2章 一切從URL開始
2.1 URL的結構
2.1.1 協議名稱
2.1.2 層級URL的標記符號
2.1.3 訪問資源的身份驗證
2.1.4 服務器地址
2.1.5 服務器端口
2.1.6 層級的文件路徑
2.1.7 查詢字符串
2.1.8 片段ID
2.1.9 把所有的東西整合起來
2.2 保留字符和百分號編碼
2.3 常見的 URL協議及功能
2.3.1 瀏覽器本身支持、與獲取文檔相關的協議
2.3.2 由第三方應用和插件支持的協議
2.3.3 未封裝的偽協議
2.3.4 封裝過的偽協議
2.3.5 關於協議檢測部分的結語
2.4 相對URL的解析
2.5 安全工程速查表

第3章 HTTP協議
3.1 HTTP 基本語法
3.1.1 支持HTTP/0.9的惡果
3.1.2 換行處理帶來的各種混亂
3.1.3 經過代理的HTTP請求
3.1.4 對重復或有沖突的頭域的解析
3.1.5 以分號作分隔符的頭域值
3.1.6 頭域里的字符集和編碼策略
3.1.7 Referer頭域的表現
3.2 HTTP 請求類型
3.2.1 GET
3.2.2 POST
3.2.3 HEAD
3.2.4 OPTIONS
3.2.5 PUT
3.2.6 DELETE
3.2.7 TRACE
3.2.8 CONNECT
3.2.9 其他 HTTP 方法
3.3 服務器響應代碼
3.4 持續會話
3.5 分段數據傳輸
3.6 緩存機制
3.7 HTTP Cookie 語義
3.8 HTTP 認證
3.9 協議級別的加密和客戶端證書
3.9.1 擴展驗證型證書
3.9.2 出錯處理的規則
3.10 安全工程速查表

第4章 HTML語言
4.1 HTML文檔背后的基本概念
4.1.1 文檔解析模式
4.1.2 語義之爭
4.2 理解HTML解析器的行為
4.2.1 多重標簽之間的交互
4.2.2 顯式和隱式的條件判斷
4.2.3 HTML解析的生存建議
4.3 HTML實體編碼
4.4 HTTP/HTML 交互語義
4.5 超鏈接和內容包含
4.5.1 單純的鏈接
4.5.2 表單和表單觸發的請求
4.5.3 框架
4.5.4 特定類型的內容包含
4.5.5 關於跨站請求偽造
4.6 安全工程速查表

第5章 層疊樣式表
5.1 CSS基本語法
5.1.1 屬性定義
5.1.2 @ 指令和XBL綁定
5.1.3 與HTML的交互
5.2 重新同步的風險
5.3 字符編碼
5.4 安全工程速查表

第6章 瀏覽器端腳本
6.1 JavaScript的基本特點
6.1.1 腳本處理模型
6.1.2 執行順序的控制
6.1.3 代碼和對象檢視功能
6.1.4 修改運行環境
6.1.5 JavaScript 對象表示法（JSON）和其他數據序列化
6.1.6 E4X和其他語法擴展
6.2 標准對象層級
6.2.1 文檔對象模型
6.2.2 對其他文檔的訪問
6.3 腳本字符編碼
6.4 代碼包含模式和嵌入風險
6.5 活死人：Visual Basic
6.6 安全工程速查表

第7章 非HTML類型文檔
7.1 純文本文件
7.2 位圖圖片
7.3 音頻與視頻
7.4 各種XML文件
7.4.1 常規XML視圖效果
7.4.2 可縮放向量圖片
7.4.3 數學標記語言
7.4.4 XML用戶界面語言
7.4.5 無線標記語言
7.4.6 RSS 和 Atom訂閱源
7.5 關於不可顯示的文件類型
7.6 安全工程速查表

第8章 瀏覽器插件產生的內容
8.1 對插件的調用
8.2 文檔顯示幫助程序
8.3 插件的各種應用框架
8.3.1 Adobe Flash
8.3.2 Microsoft Silverlight
8.3.3 Sun Java
8.3.4 XML Browser Applications
8.4 ActiveX Controls
8.5 其他插件的情況
8.6 安全工程速查表

第二部分 瀏覽器安全特性
第9章 內容隔離邏輯
9.1 DOM的同源策略
9.1.1 document.domain
9.1.2 postMessage(...)
9.1.3 與瀏覽器身份驗證的交互
9.2 XMLHttpRequest的同源策略
9.3 Web Storage 的同源策略
9.4 Cookies 的安全策略
9.4.1 Cookie對同源策略的影響
9.4.2 域名限制帶來的問題
9.4.3 localhost帶來的非一般風險
9.4.4 Cookie與「合法」DNS劫持
9.5 插件的安全規則
9.5.1 Adobe Flash
9.5.2 Microsoft Silverlight
9.5.3 Java
9.6 如何處理格式含糊或意想不到的源信息
9.6.1 IP 地址
9.6.2 主機名里有額外的點號
9.6.3 不完整的主機名
9.6.4 本地文件
9.6.5 偽URL
9.6.6 瀏覽器擴展和用戶界面
9.7 源的其他應用
9.8 安全工程速查表

第10章 源的繼承
10.1 about:blank頁面的源繼承
10.2 data: URL的繼承
10.3 javascript:和vbscript: URL對源的繼承
10.4 關於受限偽URL的一些補充
10.5 安全工程速查表

第11章 同源策略之外的世界
11.1 窗口和框架的交互
11.1.1 改變現有頁面的地址
11.1.2 不請自來的框架
11.2 跨域內容包含
11.3 與隱私相關的副作用
11.4 其他的同源漏洞和應用
11.5 安全工程速查表

第12章 其他的安全邊界
12.1 跳轉到敏感協議
12.2 訪問內部網絡
12.3 禁用的端口
12.4 對第三方Cookie的限制
12.5 安全工程速查表

第13章 內容識別機制
13.1 文檔類型檢測的邏輯
13.1.1 格式錯誤的MIME Type寫法
13.1.2 特殊的 Content-Type 值
13.1.3 無法識別的Content Type類型
13.1.4 防御性使用Content-Disposition
13.1.5 子資源的內容設置
13.1.6 文件下載和其他非HTTP內容
13.2 字符集處理
13.2.1 字節順序標記
13.2.2 字符集繼承和覆蓋
13.2.3 通過HTML代碼設置子資源字符集
13.2.4 非HTTP 文件的編碼檢測
13.3 安全工程速查表

第14章 應對惡意腳本
14.1 拒絕服務攻擊
14.1.1 執行時間和內存使用的限制
14.1.2 連接限制
14.1.3 過濾彈出窗口
14.1.4 對話框的使用限制
14.2 窗口定位和外觀問題
14.3 用戶界面的時差攻擊
14.4 安全工程速查表

第15章 外圍的網站特權
15.1 瀏覽器和托管插件的站點權限
15.2 表單密碼管理
15.3 IE瀏覽器的區域模型
15.4 安全工程速查表

第三部分 瀏覽器安全機制的未來趨勢
第16章 新的瀏覽器安全特性與未來展望
16.1 安全模型擴展框架
16.1.1 跨域請求
16.1.2 XDomainRequest
16.1.3 Origin 請求頭的其他應用
16.2 安全模型限制框架
16.2.1 內容安全策略
16.2.2 沙盒框架
16.2.3 嚴格傳輸安全
16.2.4 隱私瀏覽模式
16.3 其他的一些進展
16.3.1 瀏覽器內置的 HTML凈化器
16.3.2 XSS 過濾
16.4 安全工程速查表

第17章 其他值得注意的瀏覽器機制
17.1 URL級別和協議級別的提議
17.2 內容相關的特性
17.3 I O接口

第18章 常見的Web安全漏洞
18.1 與Web應用相關的漏洞
18.2 Web應用設計時應謹記的問題
18.3 服務器端的常見問題
后記
注釋