Descrição geral
Um livro de 272 páginas, composto por 20 capítulos e dois apêndices. No final de cada capítulo há uma conclusão. O material é apresentado principalmente como informação textual, há algumas inserções de código, mas não muitas. O mesmo pode ser dito sobre imagens e tabelas. O nível de dificuldade de leitura é fácil, em raras capítulos médio.
Resumo breve
O livro é estruturado de forma que cada capítulo aborda alguma vulnerabilidade ou vetor de ataque. A forma mais simples de fazer um resumo breve é simplesmente listar esses capítulos, ou seja, os vetores de ataque. Então, aqui está o que o autor oferece:
- Capítulo 1. Fundamentos da caça a vulnerabilidades
- Capítulo 2. Redirecionamento Aberto
- Capítulo 3. Poluição de parâmetros HTTP
- Capítulo 4. Falsificação de solicitação entre sites
- Capítulo 5. Injeção de elemento HTML e spoofing de conteúdo
- Capítulo 6. Injeção de caracteres de nova linha
- Capítulo 7. Scripting entre sites (XSS)
- Capítulo 8. Injeção de modelos
- Capítulo 9. Injeção SQL
- Capítulo 10. Falsificação de solicitações do servidor
- Capítulo 11. Entidades XML externas
- Capítulo 12. Execução remota de código
- Capítulo 13. Vulnerabilidades de memória
- Capítulo 14. Tomada de subdomínio
- Capítulo 15. Condições de corrida
- Capítulo 16. Referências diretas a objetos inseguras
- Capítulo 17. Vulnerabilidades em OAuth
- Capítulo 18. Vulnerabilidades em lógica e configuração de aplicativos
- Capítulo 19. Descoberta independente de vulnerabilidades
- Capítulo 20. Relatórios de vulnerabilidades
Opinião
Até agora, este é o melhor livro sobre segurança de aplicativos web. O autor revela pelo menos 17 possíveis tipos de ataques a sites e aplicativos web e, consequentemente, métodos de defesa contra esses ataques. Um livro bem estruturado, detalhado que claramente merece uma alta avaliação. Após a leitura do livro, a maior parte dele serviu como material com o qual palestrei no trabalho para todos os funcionários da minha empresa sobre o tema de segurança de computadores.
Este artigo é estritamente uma resenha do livro e não tem caráter de recomendação. As ferramentas e métodos descritos no livro são fornecidos exclusivamente para fins informativos - isso não é um chamado à ação da minha parte. Além disso, algumas tecnologias ou práticas podem ser restritas, bloqueadas ou ilegais em determinados países, e seu uso é avaliado por cada leitor independentemente, considerando a legislação local e a responsabilidade pessoal.
