Innocent code: a security wake-up call for Web programmers

Cover......Page 1
Contents......Page 8
Foreword......Page 12
Acknowledgments......Page 14
Introduction......Page 16
0.1 The Rules......Page 17
0.2 The Examples......Page 18
0.3 The Chapters......Page 19
0.4 What is Not in This Book?......Page 20
0.6 Feedback......Page 21
1.1 HTTP......Page 24
1.1.1 Requests and responses......Page 25
1.1.2 The Referer header......Page 29
1.1.3 Caching......Page 30
1.1.4 Cookies......Page 32
1.2 Sessions......Page 33
1.2.1 Session hijacking......Page 34
1.3 HTTPS......Page 38
1.5 Do You Want to Know More?......Page 42
2 Passing Data to Subsystems......Page 44
2.1.1 Examples, examples and then some......Page 45
2.1.2 Using error messages to fetch information......Page 53
2.1.3 Avoiding SQL injection......Page 56
2.2 Shell Command Injection......Page 62
2.2.1 Examples......Page 63
2.2.2 Avoiding shell command injection......Page 65
2.3.1 Example......Page 71
2.5 Solving Metacharacter Problems......Page 73
2.5.1 Multi-level interpretation......Page 75
2.5.2 Architecture......Page 76
2.5.3 Defense in depth......Page 77
2.6 Summary......Page 78
3.1 What is Input Anyway?......Page 80
3.1.1 The invisible security barrier......Page 85
3.1.2 Language peculiarities: totally unexpected input......Page 88
3.2 Validating Input......Page 90
3.2.1 Whitelisting vs. blacklisting......Page 94
3.3 Handling Invalid Input......Page 97
3.3.1 Logging......Page 99
3.4 The Dangers of Client-side Validation......Page 102
3.5 Authorization Problems......Page 105
3.5.1 Indirect access to data......Page 106
3.5.2 Passing too much to the client......Page 109
3.5.3 Missing authorization tests......Page 113
3.5.4 Authorization by obscurity......Page 114
3.6 Protecting server-generated input......Page 115
3.7 Summary......Page 118
4 Output Handling: The Cross-site Scripting Problem......Page 120
4.1 Examples......Page 121
4.1.1 Session hijacking......Page 122
4.1.2 Text modification......Page 126
4.1.3 Socially engineered Cross-site Scripting......Page 127
4.1.4 Theft of passwords......Page 131
4.1.5 Too short for scripts?......Page 132
4.2 The Problem......Page 134
4.3 The Solution......Page 135
4.3.1 HTML encoding......Page 136
4.3.2 Selective tag filtering......Page 137
4.3.3 Program design......Page 143
4.4 Browser Character Sets......Page 144
4.5 Summary......Page 145
4.6 Do You Want to Know More?......Page 146
5.1 Examples......Page 148
5.2 The Problem......Page 153
5.3 A Solution......Page 154
5.4 Summary......Page 156
6.1 Crypto-Stuff......Page 158
6.1.2 Asymmetric encryption......Page 160
6.1.3 Message digests......Page 162
6.1.4 Digital signatures......Page 163
6.1.5 Public key certificates......Page 164
6.2.1 On clear-text passwords......Page 165
6.2.2 Lost passwords......Page 167
6.2.3 Cracking hashed passwords......Page 169
6.2.4 Remember me?......Page 173
6.3 Secret Identifiers......Page 174
6.4 Secret Leakage......Page 176
6.4.1 GET request leakage......Page 177
6.4.2 Missing encryption......Page 179
6.5.1 Insecure file names......Page 180
6.5.2 System software bugs......Page 181
6.6 Summary......Page 183
6.7 Do You Want to Know More?......Page 184
7.1 Ignorance......Page 186
7.2 Mess......Page 188
7.3 Deadlines......Page 194
7.4 Salesmen......Page 196
7.6 Do You Want to Know More?......Page 197
8 Summary of Rules for Secure Coding......Page 200
Appendix A Bugs in the Web Server......Page 210
B.1 Teach Yourself TCP/IP in Four Minutes......Page 216
B.2 Sniffing the Packets......Page 218
B.3 Man-In-The-Middle Attacks......Page 219
B.4 MITM with HTTPS......Page 220
B.6 Do You Want to Know More?......Page 221
Appendix C Sending HTML Formatted E-mails with a Forged Sender Address......Page 222
D.1 Mailing Lists......Page 224
D.2 OWASP......Page 226
Acronyms......Page 228
References......Page 232
Index......Page 244