Wstęp. O tej książce. Kto powinien przeczytać tę książkę. Krótka historia internetu. Zawartość książki. 1. Hakowanie strony internetowej. Ataki na oprogramowanie i ukryta sieć. Jak zhakować stronę internetową. CZĘŚĆ I. PODSTAWY. 2. Jak działa internet. Zbiór protokołów internetowych. Protokoły warstwy aplikacji. Połączenia stanowe. Szyfrowanie. Podsumowanie. 3. Jak działają przeglądarki. Renderowanie strony internetowej. JavaScript. Przed renderowaniem i po renderowaniu: co jeszcze robi przeglądarka. Podsumowanie. 4. Jak działają serwery WWW. Zasoby statyczne i dynamiczne. Zasoby statyczne. Zasoby dynamiczne. Podsumowanie. 5. Jak pracują programiści. Etap 1. Projekt i analiza. Etap 2. Pisanie kodu. Etap 3. Testowanie przed publikacją. Etap 4. Proces publikacji. Etap 5. Testowanie i obserwacje po publikacji. Zarządzanie zależnościami. Podsumowanie. CZĘŚĆ II. ZAGROŻENIA. 6. Ataki przez wstrzykiwanie. Wstrzykiwanie SQL-a. Dodatkowa metoda obrony: obrona w głąb. Wstrzykiwanie polecenia. Zdalne wykonywanie kodu. Luki związane z przesyłaniem plików. Podsumowanie. 7. Ataki cross-site scripting. Zapisane ataki cross-site scripting. Odbite ataki cross-site scripting. Ataki cross-site scripting oparte na hierarchii DOM. Podsumowanie. 8. Ataki cross-site request forgery. Anatomia ataku CSRF. Pierwsza metoda obrony: przestrzeganie zasad REST. Druga metoda obrony: implementacja cookie z tokenami CSRF. Trzecia metoda obrony: użycie atrybutu cookie SameSite. Dodatkowa metoda obrony: wymagaj ponownego uwierzytelnienia w przypadku wrażliwych operacji. Podsumowanie. 9. Naruszanie uwierzytelniania. Implementacja uwierzytelniania. Pierwsza metoda obrony: uwierzytelnianie zewnętrzne. Druga metoda obrony: integracja pojedynczego logowania. Trzecia metoda obrony: zabezpieczenie własnego systemu uwierzytelniania. Podsumowanie. 10. Przechwytywanie sesji. Jak działają sesje. Jak hakerzy przechwytują sesje. Podsumowanie. 11. Uprawnienia. Eskalacja uprawnień. Kontrola dostępu. Directory traversal. Podsumowanie. 12. Wycieki informacji. Pierwsza metoda obrony: usunięcie wymownych nagłówków serwera. Druga metoda obrony: użycie czystych adresów URL. Trzecia metoda obrony: użycie ogólnych parametrów cookie. Czwarta metoda obrony: wyłączenie raportowania błędów po stronie klienta. Piąta metoda obrony: minifikacja lub obfuskacja plików JavaScriptu. Szósta metoda obrony: czyszczenie plików po stronie klienta. Śledź informacje o lukach w zabezpieczeniach. Podsumowanie. 13. Szyfrowanie. Szyfrowanie w protokole internetowym. Włączanie HTTPS. Atakowanie HTTP (i HTTPS). Podsumowanie. 14. Zewnętrzne biblioteki. Zabezpieczanie zależności. Zabezpieczanie konfiguracji. Zabezpieczanie używanych usług. Usługi jako wektor ataku. Podsumowanie. 15. Ataki na XML-a. Użycie XML-a. Walidacja XML-a. Bomby XML-a. Ataki XML External Entity. Zabezpieczanie parsera XML-a. Inne uwarunkowania. Podsumowanie. 16. Nie bądź narzędziem. Fałszowanie poczty elektronicznej. Kamuflowanie złośliwych linków w wiadomościach e-mail. Clickjacking. Server-side request forgery. Botnety. Podsumowanie. 17. Ataki denial-of-service. Ataki typu denial-of-service. Ochrona przed atakami denial-of-service. Podsumowanie. 18. Podsumowanie.

Książka przeznaczona dla programistów o różnym stopniu zaawansowania