ASP.NET Core工程師不可不知的10大安全性漏洞與防駭方法


	『OWASP發展至今，前10大排名的弱點已不再是單純的一種攻擊名稱，而是一種不安全的行為。作者以弱點復現來說明其弱點成因，是我推薦本書的主要原因，希望本書能帶給程式設計師更多安全開發的觀念！』——登豐數位科技創辦人／白帽駭客　黃建笙（Jason 方丈）　專文推薦　　『雖然這本書是資訊安全的書籍，卻沒有艱深難懂的理論，利用輕鬆的攻與防，讓讀者在攻防戰之間提升資安與安全程式碼二者的經驗值，讓你一次擁有劍與盾兩件寶物。』——微軟MVP最有價值專家　陳傳興（Bruce Chen）　專文推薦　　ASP.NET Core開發人員經常會收到安全性測試的結果，報告中顯示的是在Web應用程式中所發現的漏洞。雖然這些報告可以提供一些高階的修復建議，但是它們往往沒有說明，為了解決或是修復這些測試所發現的弱點，你需要採取哪些確切的步驟？　　在本書的第1章中，首先，你將學習安全程式碼的基本概念。然後，在第2章到第11章中，我們將帶領你一步步學習識別常見的Web應用程式漏洞。在閱讀的過程中，我們也會介紹如何在ASP.NET Core Web應用程式中修復不安全的組態設定。我們更進一步展示如何解決不同類型的跨網站指令碼(XSS)。最後還有獨立的一章，專門指導你修復不再屬於OWASP Top 10清單的其他漏洞。　　本書的寫作格式屬於訣竅式風格(recipe style)：每一個訣竅都代表一個問題，我們會先展示不安全程式碼的範例，接著提供相應的解決方案，讓你學習如何根除應用程式中的安全錯誤。遵循簡單的訣竅步驟，你將探索ASP.NET Core Web應用程式中不同類型的安全性弱點，理解什麼樣的程式碼會導致應用程式不安全，然後一步步練習如何修復它們，由此建立強健又安全的解決方案。　　讀完這本書，你將獲得解決ASP.NET Core Web應用程式安全性漏洞的實用訣竅，以及修復安全性缺陷的實戰經驗。　　你將從本書學會：　　・如何消滅ASP.NET Core Web應用程式中的bug 　　・探索不同類型的注入攻擊，並防止這個漏洞被利用　　・修復與無效的身分驗證和授權相關的安全問題　　・使用多種保護技術，排除敏感資料外洩的風險　　・啟用ASP.NET Core Web應用程式的安全功能，防止不安全的組態設定　　・探索ASP.NET Web應用程式的其他漏洞，以及安全開發的最佳實踐　　目標讀者　　本書的目標讀者是那些使用「ASP.NET Core框架」開發Web應用程式的開發人員和軟體工程師。本書非常適合初學者和經驗豐富的資深工程師：本書將指導新手學習編寫「安全程式碼」的必要基礎，而資深工程師也可以利用這本書，作為一個逐步編寫「ASP.NET Core安全程式碼」的快速參考。　　對於那些希望深入理解「如何透過程式碼來保護ASP.NET Core應用程式」的應用系統安全工程師來說，這本書也能提供很好的幫助。本書將協助他們瞭解「如何修復」他們每天執行的安全測試所發現的問題。


	目錄推薦序一｜黃建笙（Jason 方丈）推薦序二｜陳傳興（Bruce Chen）推薦序三｜Ed Price 前言 Chapter 01：安全程式碼的基礎技術需求輸入驗證使用驗證屬性啟用白名單驗證使用FluentValidation程式庫進行白名單驗證語法和語義驗證輸入清理使用HtmlSanitizer程式庫進行輸入清理輸出編碼使用HtmlEncoder進行輸出編碼使用UrlEncoder進行輸出編碼使用JavaScriptEncoder進行輸出編碼使用Data Protection API保護敏感資料 Chapter 02：注入缺陷技術需求什麼是SQL注入？使用Entity Framework修復SQL注入在ADO.NET中修復SQL注入修復NoSQL注入修復命令注入修復LDAP注入修復XPath注入 Chapter 03：無效的身分驗證技術需求修復「身分驗證嘗試次數過多」的錯誤限制修復「未充分保護的認證」修復「使用者列舉」修復「弱密碼要求」修復「工作階段過期時間」的不足 Chapter 04：敏感資料外洩技術需求修復傳輸中資料保護不足的問題修復遺漏的HSTS標頭修復弱協定修復寫死的密碼編譯金鑰禁用關鍵網頁的快取 Chapter 05：XML外部實體技術需求啟用XML驗證使用XmlDocument修復XXE注入使用XmlTextReader修復XXE注入使用LINQ to XML修復XXE注入 Chapter 06：無效的存取控制技術需求修復IDOR 修復不正確的授權修復遺漏的存取控制修復開放式重新導向漏洞 Chapter 07：不安全的組態設定技術需求在非開發環境中禁用偵錯功能修復被禁用的安全功能禁用不必要的功能修復經由「錯誤訊息」而導致的資訊暴露修復經由「不安全的cookie」而導致的資訊暴露 Chapter 08：跨網站指令碼技術需求修復反射型XSS 修復儲存性／持續性XSS 修復DOM XSS Chapter 09：不安全的反序列化技術需求修復不安全的反序列化修復「使用不安全的反序列化器」的問題修復「不受信任的資料」的反序列化 Chapter 10：使用具有已知漏洞的元件技術需求修復使用「易受攻擊的第三方JavaScript程式庫」的問題修復使用「易受攻擊的NuGet套件」的問題修復使用「來自不受信任來源的程式庫」的問題 Chapter 11：記錄和監控不足技術需求修復例外記錄不足的問題修復資料庫交易記錄不足的問題修復過多的資訊記錄修復缺乏安全監控的問題 Chapter 12：其他漏洞技術需求修復被禁用的「CSRF保護」防止伺服器端請求偽造防止記錄注入防止HTTP回應分割防止點擊劫持修復隨機性不足 Chapter 13：最佳實踐技術需求正確的例外處理使用與安全相關的cookie屬性使用內容安全性原則（CSP）修復留下的偵錯程式碼