代碼審計是企業(yè)安全從業(yè)人員必備的基本技能。在企業(yè)安全操作、滲透測試、漏洞研究等各項工作中，都需要進(jìn)行代碼審計。本書圍繞代碼審計前的準(zhǔn)備工作、審計方法等方面精心組織內(nèi)容，通過應(yīng)用案例，讓讀者深刻體會代碼審計的重要作用。 本書包含16 個項目。項目1 和項目2 為代碼審計前的準(zhǔn)備工作，包括項目1“部署工作環(huán)境”和項目2“初識審計軟件”。項目3 為“基于DVWA 的漏洞分析與代碼審計”，利用DVWA 這一通用平臺進(jìn)行各種Web 安全漏洞的分析與代碼審計。項目4～項目16 針對不同的靶機系統(tǒng)，進(jìn)一步深化相關(guān)漏洞的代碼審計技術(shù)，包括項目4“靶機SQL 注入漏洞與審計”、項目5“靶機跨站腳本攻擊漏洞與審計”、項目6“靶機跨站請求偽造漏洞與審計”、項目7“靶機服務(wù)端請求偽造漏洞與審計”、項目8“靶機XML 外部實體注入漏洞與審計”、項目9“靶機代碼執(zhí)行漏洞與審計”、項目10“靶機命令執(zhí)行漏洞與審計”、項目11“靶機反序列化漏洞與審計”、項目12“靶機任意文件上傳漏洞與審計”、項目13“靶機文件包含漏洞與審計”、項目14“靶機文件操作類漏洞與審計”、項目15“靶機其他類型漏洞與審計”和項目16“靶機框架漏洞與審計”。 本書配有微課視頻、源代碼、電子課件、教案等教學(xué)資源，讀者可以登錄華信教育資源網(wǎng)免費注冊后進(jìn)行下載。本書既可以作為高等院校、高等職業(yè)院�！熬W(wǎng)絡(luò)與信息安全”課程的教材，也可以作為相關(guān)從業(yè)人員的參考書。
郭錫泉，男，副教授，博士研究生學(xué)歷。曾任教于廣州番禺職業(yè)技術(shù)學(xué)院，先任教于清遠(yuǎn)職業(yè)技術(shù)學(xué)院信息與創(chuàng)意學(xué)院，副院長職務(wù)�，F(xiàn)任清遠(yuǎn)市網(wǎng)絡(luò)空間安全工程技術(shù)研究開發(fā)中心負(fù)責(zé)人。帶領(lǐng)清遠(yuǎn)職業(yè)技術(shù)學(xué)院信息安全技術(shù)與應(yīng)用研究團(tuán)隊，獲國家信息安全漏洞共享平臺（CNVD）原創(chuàng)漏洞證書108項、云計算與網(wǎng)絡(luò)安全相關(guān)的專利和軟件著作權(quán)5項；獲國家級教學(xué)成果二等獎1項；指導(dǎo)學(xué)生參加廣東省高職院校職業(yè)技能競賽計算機網(wǎng)絡(luò)應(yīng)用賽項獲一等獎2項。曾參與廣東省科技計劃項目“基于專用協(xié)議棧的流過濾網(wǎng)絡(luò)防火墻研制”、廣東省-教育部產(chǎn)學(xué)研結(jié)合項目“基于新一代網(wǎng)絡(luò)的入侵檢測系統(tǒng)產(chǎn)業(yè)化研究”等項目，發(fā)表網(wǎng)絡(luò)安全、信息安全技術(shù)與管理領(lǐng)域的論文25篇。
項目1 部署工作環(huán)境 .................................. 1
項目知識準(zhǔn)備 ............................................. 2
任務(wù)1 部署Windows 平臺的工作環(huán)境 ....... 8
任務(wù)2 部署Linux 平臺的工作環(huán)境 .......... 13
項目復(fù)盤 ................................................. 17
項目2 初識審計軟件 ................................ 18
項目知識準(zhǔn)備 ........................................... 18
任務(wù)1 使用Seay 審計DVWA ................. 37
任務(wù)2 使用RIPS 審計DVWA ................. 43
項目復(fù)盤 ................................................. 46
項目3 基于DVWA 的漏洞分析與代碼審計 ................................................ 47
項目知識準(zhǔn)備 ........................................... 48
任務(wù)1 功能點定向?qū)徲?.......................... 48
任務(wù)2 暴力破解漏洞與審計 .................... 53
任務(wù)3 命令注入漏洞與審計 .................... 58
任務(wù)4 跨站請求偽造漏洞與審計 ............. 63
任務(wù)5 文件包含漏洞與審計 .................... 70
任務(wù)6 文件上傳漏洞與審計 .................... 74
任務(wù)7 SQL 注入漏洞與審計 ................... 78
任務(wù)8 SQL 盲注漏洞與審計 ................... 87
任務(wù)9 脆弱會話漏洞與審計 .................... 94
任務(wù)10 反射型XSS 漏洞與審計 ............. 98
任務(wù)11 存儲型XSS 漏洞與審計 ........... 101
任務(wù)12 不安全的驗證流程漏洞與審計 ........................................ 106
項目復(fù)盤 ............................................... 116
項目4 靶機SQL 注入漏洞與審計 ........ 117
項目知識準(zhǔn)備 ......................................... 117
任務(wù)1 SQL 注入漏洞分析 .................... 118
任務(wù)2 SQL 注入漏洞代碼審計 .............. 123
項目復(fù)盤 ............................................... 127
項目5 靶機跨站腳本攻擊漏洞與審計 .............................................. 128
項目知識準(zhǔn)備 ......................................... 128
任務(wù)1 跨站腳本攻擊漏洞分析 .............. 129
任務(wù)2 跨站腳本攻擊漏洞代碼審計 ....... 131
項目復(fù)盤 ............................................... 136
項目6 靶機跨站請求偽造漏洞與審計 .............................................. 137
項目知識準(zhǔn)備 ......................................... 137
任務(wù)1 跨站請求偽造漏洞分析 .............. 138
任務(wù)2 跨站請求偽造漏洞代碼審計 ....... 140
項目復(fù)盤 ............................................... 144
項目7 靶機服務(wù)端請求偽造漏洞與審計 .............................................. 145
項目知識準(zhǔn)備 ......................................... 145
任務(wù)1 服務(wù)端請求偽造漏洞分析 ........... 146
任務(wù)2 服務(wù)端請求偽造漏洞代碼審計 .... 148
項目復(fù)盤 ............................................... 152
項目8 靶機XML 外部實體注入漏洞與審計 .......................................... 153
項目知識準(zhǔn)備 ......................................... 153
任務(wù)1 XML 外部實體注入漏洞分析 ...... 155
任務(wù)2 XML 外部實體注入漏洞代碼審計 .......................................... 157
項目復(fù)盤 ............................................... 161
項目9 靶機代碼執(zhí)行漏洞與審計 .......... 162
項目知識準(zhǔn)備 ......................................... 162
任務(wù)1 代碼執(zhí)行漏洞分析 ..................... 163
任務(wù)2 代碼執(zhí)行漏洞代碼審計 .............. 166
項目復(fù)盤 ............................................... 170
項目10 靶機命令執(zhí)行漏洞與審計 ........ 171
項目知識準(zhǔn)備 ......................................... 171
任務(wù)1 命令執(zhí)行漏洞分析 ..................... 172
任務(wù)2 命令執(zhí)行漏洞代碼審計 .............. 174
項目復(fù)盤 ............................................... 179
項目11 靶機反序列化漏洞與審計 ........ 180
項目知識準(zhǔn)備 ......................................... 180
任務(wù)1 反序列化漏洞分析 ..................... 182
任務(wù)2 反序列化漏洞代碼審計 .............. 183
項目復(fù)盤 ............................................... 190
項目12 靶機任意文件上傳漏洞與審計 ............................................ 191
項目知識準(zhǔn)備 ......................................... 191
任務(wù)1 任意文件上傳漏洞分析 .............. 192
任務(wù)2 任意文件上傳漏洞代碼審計 ....... 193
項目復(fù)盤 ............................................... 197
項目13 靶機文件包含漏洞與審計 ........ 198
項目知識準(zhǔn)備 ......................................... 198
任務(wù)1 文件包含漏洞分析 ..................... 199
任務(wù)2 文件包含漏洞代碼審計 .............. 201
項目復(fù)盤 ............................................... 204
項目14 靶機文件操作類漏洞與審計 .... 205
項目知識準(zhǔn)備 ......................................... 205
任務(wù)1 任意文件讀取/修改漏洞代碼審計 ......................................... 206
任務(wù)2 任意文件刪除漏洞代碼審計 ....... 208
項目復(fù)盤 ............................................... 210
項目15 靶機其他類型漏洞與審計 ........ 211
項目知識準(zhǔn)備 ......................................... 211
任務(wù)1 系統(tǒng)重裝漏洞分析及代碼審計 .... 212
任務(wù)2 越權(quán)漏洞分析及代碼審計 ........... 217
項目復(fù)盤 ............................................... 222
項目16 靶機框架漏洞與審計 ................ 223
項目知識準(zhǔn)備 ......................................... 223
任務(wù)1 ThinkPHP 框架使用 ................... 224
任務(wù)2 ThinkPHP 遠(yuǎn)程代碼執(zhí)行漏洞分析與審計 ............................... 226
項目復(fù)盤 ............................................... 230
書單推薦
