Description générale
Un livre de 272 pages, composé de 20 chapitres et deux annexes. À la fin de chaque chapitre, il y a une conclusion. Le matériel est présenté principalement sous forme d'informations textuelles, il y a des extraits de code, mais pas très nombreux. La même chose peut être dite des images et des tableaux. Le niveau de difficulté de lecture est facile, dans quelques rares chapitres - moyen.
Aperçu bref
Le livre est structuré de manière telle que chaque chapitre traite d'une certaine vulnérabilité ou vecteur d'attaque. Le moyen le plus simple de donner un aperçu bref est de simplement lister ces chapitres, c'est-à-dire les vecteurs d'attaque. Donc, voici ce que l'auteur propose :
- Chapitre 1. Fondamentaux de la chasse aux vulnérabilités
- Chapitre 2. Redirection ouverte
- Chapitre 3. Pollution des paramètres HTTP
- Chapitre 4. Falsification de requêtes inter-sites
- Chapitre 5. Injection d'éléments HTML et usurpation de contenu
- Chapitre 6. Injection de caractères de saut de ligne
- Chapitre 7. Scriptage inter-sites
- Chapitre 8. Injection de modèles
- Chapitre 9. Injection SQL
- Chapitre 10. Falsification de requêtes serveur
- Chapitre 11. Entités XML externes
- Chapitre 12. Exécution de code à distance
- Chapitre 13. Vulnérabilités mémoire
- Chapitre 14. Prenetration de sous-domaine
- Chapitre 15. Conditions de course
- Chapitre 16. Références directes à objets non sécurisées
- Chapitre 17. Vulnérabilités OAuth
- Chapitre 18. Vulnérabilités logiques et de configuration applicative
- Chapitre 19. Découverte indépendante de vulnérabilités
- Chapitre 20. Rapports de vulnérabilités
Avis
Jusqu'à présent, c'est le meilleur livre sur la sécurité informatique des applications web. L'auteur révèle au moins 17 types possibles d'attaques contre les sites web et applications web, et en conséquence, des méthodes de défense contre ces attaques. Un livre bien structuré, détaillé qui mérite clairement une haute évaluation. Après avoir lu le livre, la majeure partie de celui-ci a servi de matériel avec lequel j'ai présenté en entreprise à tous les employés de ma société sur le thème de la sécurité informatique.
Cet article est strictement une critique du livre et n'a pas de caractère recommandatif. Les outils et méthodes décrits dans le livre sont fournis exclusivement à titre d'information - cela ne constitue pas un appel à action de ma part. De plus, certaines technologies ou pratiques peuvent être restreintes, bloquées ou illégales dans tel ou tel pays, et leur utilisation est évaluée par chaque lecteur indépendamment, en tenant compte de la législation locale et de la responsabilité personnelle.
