ASP.NET安全应用程序开发PDF|Epub|txt|kindle电子书版本网盘下载

ASP.NET安全应用程序开发PDF格式电子书版下载

注意：本站所有压缩包均有解压码： 点击下载压缩包解压工具

第1章 安全简介1

1.1 相关背景1

1.2 安全基础2

1.2.1 身份验证2

1.2.2 授权2

1.2.3 安全通信2

1.3 各种开发技术3

1.4 设计原则4

1.5 本章小结5

第2章 ASP.NET应用程序的安全模型6

2.1 .NET Web应用程序6

2.1.1 逻辑层6

2.1.2 物理部署模型7

2.2 实现技术8

2.3 安全体系结构9

2.3.1 跨层安全性10

2.3.2 身份验证11

2.3.3 授权13

2.3.4 关守和关口15

2.4 .NET框架安全机制17

2.4.1 代码访问安全性17

2.4.2 主体和标识18

2.4.3 WindowsPrincipal和WindowsIdentity20

2.4.4 GenericPrincipal和相关的标识对象20

2.4.5 ASP.NET和HttpContext.User21

2.4.6 远程处理和Web服务21

2.5 本章小结22

第3章 身份验证和授权23

3.1 设计身份验证和授权策略24

3.1.1 确定资源24

3.1.2 选择授权策略24

3.1.3 选择用于资源访问的标识25

3.1.4 考虑标识的流动26

3.1.5 选择身份验证方式26

3.1.6 确定如何流动标识26

3.2 授权方式27

3.2.1 基于角色的授权27

3.2.2 基于资源的授权28

3.2.3 资源访问模型28

3.2.4 受信任子系统模型28

3.2.5 模拟/委托模型30

3.2.6 选择资源访问模型31

3.3 流动标识32

3.3.1 应用程序级的标识流动和操作系统级的标识流动33

3.3.2 模拟和委托33

3.4 基于角色的授权35

3.4.1 .NET角色35

3.4.2 Enterprise Services(COM+)角色36

3.4.3 SQL Server用户定义的数据库角色36

3.4.4 SQL Server应用程序角色36

3.4.5 .NET角色和Enterprise Services(COM+)角色37

3.4.6 使用.NET角色38

3.5 选择身份验证机制41

3.5.1 Internet方案42

3.5.2 Intranet/Extranet方案43

3.5.3 各种身份验证机制的比较44

3.6 本章小结45

第4章 安全通信46

4.1 了解需要保护的内容46

4.2 SSL/TLS47

4.3 IPSec48

4.4 RPC加密49

4.5 点对点安全50

4.5.1 浏览器到Web服务器的通信50

4.5.2 Web服务器到远程应用程序服务器的通信50

4.5.3 应用程序服务器到数据库服务器的通信51

4.5.4 对SQL Server使用SSL51

4.6 在IPSec和SSL之间进行选择52

4.7 Farming和负载平衡52

4.8 本章小结52

第5章 Intranet安全机制54

5.1 ASP.NET到SQL Server55

5.1.1 特性55

5.1.2 提供安全保护55

5.1.3 结果56

5.1.4 安全配置步骤57

5.1.5 分析59

5.1.6 问题和解答60

5.1.7 相关方案60

5.2 ASP.NET到Enterprise Services到SQL Server62

5.2.1 特性62

5.2.2 提供安全保护62

5.2.3 结果63

5.2.4 安全配置步骤64

5.2.5 分析66

5.2.6 缺陷66

5.3 ASP.NET到Web服务到SQL Server67

5.3.1 特性67

5.3.2 提供安全保护68

5.3.3 结果68

5.3.4 安全配置步骤69

5.3.5 分析71

5.3.6 缺陷73

5.3.7 问题和解答73

5.3.8 相关方案73

5.4 ASP.NET到远程处理到SQL Server73

5.4.1 特性74

5.4.2 提供安全保护74

5.4.3 结果75

5.4.4 安全配置步骤75

5.4.5 分析78

5.4.6 缺陷79

5.5 使原始调用者流动到数据库79

5.5.1 ASP.NET到SQL Server80

5.5.2 ASP.NET到Enterprise Services到SQL Server81

5.5.3 特性81

5.5.4 提供安全保护82

5.5.5 结果82

5.5.6 安全配置步骤83

5.5.7 分析86

5.5.8 缺陷87

5.6 本章小结87

第6章 Extranet安全机制88

6.1 公开Web服务88

6.1.1 特性89

6.1.2 提供安全保护89

6.1.3 结果90

6.1.4 安全配置步骤91

6.1.5 分析93

6.1.6 缺陷94

6.1.7 问题和解答94

6.2 公开Web应用程序96

6.2.1 方案特性96

6.2.2 提供安全保护97

6.2.3 结果97

6.2.4 分析100

6.2.5 缺陷101

6.3 本章小结102

第7章 Internet安全机制102

7.1 ASP.NET到SQL Server103

7.1.1 特性103

7.1.2 提供安全保护103

7.1.3 结果104

7.1.4 安全配置步骤104

7.1.5 分析106

7.1.6 缺陷108

7.1.7 相关方案108

7.2 ASP.NET到远程Enterprise Services到SQL Server109

7.2.1 特性109

7.2.2 提供安全保护110

7.2.3 结果111

7.2.4 安全配置步骤111

7.2.5 分析114

7.2.6 缺陷115

7.2.7 相关方案115

7.3 本章小结116

第8章 ASP.NET安全机制117

8.1 ASP.NET安全体系结构117

8.2 身份验证和授权策略121

8.2.1 可用的授权选项121

8.2.2 使用模拟功能的Windows身份验证122

8.2.3 不使用模拟功能的Windows身份验证124

8.2.4 使用固定标识的Windows身份验证125

8.2.5 窗体身份验证126

8.2.6 护照身份验证127

8.3 配置安全性128

8.3.1 配置IIS安全性129

8.3.2 配置ASP.NET安全性129

8.3.3 保护资源安全132

8.3.4 保护通信安全134

8.4 通过编程实现安全性134

8.4.1 一种授权模式134

8.4.2 创建自定义IPrincipal类136

8.5 Windows身份验证137

8.6 窗体身份验证138

8.6.1 窗体身份验证的开发步骤139

8.6.2 窗体实现指南143

8.6.3 装载多个使用窗体身份验证的应用程序144

8.6.4 无cookie的窗体身份验证144

8.7 护照身份验证144

8.7.1 将ASP.NET配置为使用护照身份验证144

8.7.2 将护照标识映射为Global.asax中的角色145

8.7.3 测试角色成员关系145

8.8 自定义身份验证145

8.9 ASP.NET的进程标识146

8.9.1 使用具有最低权限的账户146

8.9.2 避免使用SYSTEM账户146

8.9.3 使用默认的ASPNET账户147

8.10 模拟149

8.10.1 模拟功能和本地资源149

8.10.2 模拟功能和远程资源149

8.10.3 模拟和线程149

8.11 访问系统资源149

8.11.1 访问事件日志150

8.11.2 访问注册表150

8.12 访问COM对象151

8.13 访问网络资源152

8.13.1 使用ASP.NET进程标识153

8.13.2 使用服务组件153

8.13.3 使用匿名Internet用户账户154

8.13.4 使用LogonUser并模拟特定的Windows标识156

8.13.5 使用原始调用者156

8.13.6 访问UNC文件共享上的文件157

8.13.7 访问非Windows网络资源157

8.14 安全通信158

8.15 存储机密信息158

8.15.1 在ASP.NET中存储机密信息的选项159

8.15.2 在单独的逻辑卷上的文件中存储机密信息159

8.16 保护会话状态和视图状态160

8.16.1 保护视图状态160

8.16.2 保护Cookie160

8.16.3 保护SQL会话状态161

8.17 Web场162

8.17.1 会话状态162

8.17.2 DPAPI163

8.17.3 在Web场中使用窗体身份验证163

8.17.4 <machineKey>元素163

8.18 本章小结165

第9章 Enterprise Services安全机制166

9.1 安全体系结构166

9.1.1 关守和关口167

9.1.2 使用服务器应用程序获得改进的安全性168

9.1.3 服务器应用程序和库应用程序的安全性169

9.1.4 代码访问安全性的要求169

9.2 配置安全性170

9.2.1 配置服务器应用程序170

9.2.2 配置ASP.NET客户端应用程序177

9.2.3 对Enterprise Services应用程序配置模拟级别177

9.3 通过编程实现安全性178

9.3.1 编程方式的基于角色安全性178

9.3.2 标识调用者179

9.4 选择一个进程标识179

9.4.1 避免以交互用户的身份运行服务器应用程序179

9.4.2 使用具有最低权限的自定义账户180

9.5 访问网络资源180

9.5.1 使用原始调用者180

9.5.2 使用当前的进程标识181

9.5.3 使用特定的服务账户181

9.6 流动原始调用者182

9.7 RPC加密183

9.8 创建服务组件184

9.8.1 DLL锁定问题184

9.8.2 版本控制184

9.8.3 QueryInterface异常185

9.9 DCOM和防火墙185

9.10 从ASP.NET调用服务组件185

9.10.1 调用者的标识186

9.10.2 使用Windows身份验证和模拟功能186

9.10.3 在Machine.config中配置身份验证和模拟特性186

9.10.4 配置接口代理186

9.11 安全概念188

9.11.1 Enterprise Services(COM+)角色和.NET角色189

9.11.2 身份验证190

9.11.3 模拟192

9.12 本章小结193

第10章 Web服务安全机制195

10.1 Web服务安全模型195

10.1.1 平台/传输级(点对点)安全195

10.1.2 应用程序级安全196

10.1.3 消息级(端对端)安全197

10.2 平台/传输级安全体系结构198

10.3 身份验证和授权策略200

10.3.1 使用模拟功能的Windows身份验证200

10.3.2 不使用模拟功能的Windows身份验证202

10.3.3 使用固定标识的Windows身份验证203

10.4 配置安全性204

10.4.1 配置IIS204

10.4.2 配置ASP.NET205

10.4.3 保护资源的安全205

10.4.4 禁用HTTP-GET和HTTP-POST205

10.4.5 安全通信206

10.5 将用于身份验证的凭据传递给Web服务206

10.5.1 指定用于Windows身份验证的客户端凭据207

10.5.2 从非Windows客户端调用Web服务209

10.5.3 代理服务器身份验证209

10.6 流动原始调用者209

10.6.1 Kerberos委托的默认凭据210

10.6.2 基本或窗体身份验证的显式凭据信息212

10.7 受信任的子系统215

10.7.1 流动调用者的标识215

10.7.2 配置步骤216

10.8 访问系统资源217

10.9 访问网络资源217

10.10 访问COM对象217

10.11 为Web服务使用客户端证书218

10.11.1 利用证书对Web浏览器客户端进行身份验证218

10.11.2 使用受信任子系统模型218

10.12 安全通信221

10.12.1 传输级选项221

10.12.2 消息级选项221

10.13 本章小结222

第11章 .NET远程处理安全机制223

11.1 .NET远程处理体系结构223

11.1.1 远程处理接收器224

11.1.2 ASP.NET为宿主时的请求剖析225

11.1.3 ASP.NET和HTTP信道226

11.2 .NET远程处理关守227

11.3 身份验证228

11.3.1 装载于ASP.NET228

11.3.2 装载于Windows服务228

11.4 授权229

11.5 身份验证和授权策略230

11.6 访问系统资源231

11.7 访问网络资源231

11.8 将用于身份验证的凭据传递给远程对象232

11.9 流动原始调用者234

11.9.1 Kerberos委托的默认凭据信息235

11.9.2 基本或窗体身份验证的显式凭据237

11.10 受信任的子系统240

11.10.1 流动凋用者的标识241

11.10.2 选择宿主241

11.10.3 配置步骤241

11.11 安全通信243

11.11.1 平台级选项243

11.11.2 消息级选项243

11.12 选择宿主进程244

11.12.1 建议244

11.12.2 装载于ASP.NET244

11.12.3 装载于Windows服务245

11.12.4 装载于控制台应用程序246

11.13 远程处理与Web服务的比较246

11.14 本章小结248

第12章 数据访问安全性249

12.1 数据访问安全简介249

12.1.1 SQL Server关守250

12.1.2 受信任子系统和模拟/委托模型的比较251

12.2 身份验证252

12.2.1 Windows身份验证252

12.2.2 SQL身份验证257

12.3 授权259

12.4 安全通信261

12.4.1 安全选项261

12.4.2 选择选项261

12.5 使用最低权限的连接262

12.5.1 数据库信任应用程序262

12.5.2 数据库信任不同的角色262

12.5.3 数据库信任原始调用者263

12.6 创建最低权限的数据库账户263

12.7 安全地存储数据库连接字符串264

12.7.1 选项264

12.7.2 使用DPAPI265

12.7.3 使用Web.config和Machine.config268

12.7.4 使用UDL文件268

12.7.5 使用自定义文本文件269

12.7.6 使用注册表270

12.7.7 使用COM+目录270

12.8 根据数据库对用户进行身份验证271

12.8.1 保存单向密码哈希值(带有salt值)271

12.8.2 创建salt值271

12.8.3 创建哈希值(带有Salt)271

12.9 SQL注入攻击272

12.9.1 问题272

12.9.2 SQL脚本注入攻击273

12.9.3 保护模式匹配语句275

12.10 审核275

12.11 用于SQL Server的进程标识277

12.12 本章小结277

第13章 安全问题疑难解答279

13.1 疑难解答过程279

13.2 身份验证问题疑难解答280

13.2.1 IIS身份验证问题281

13.2.2 使用Windows身份验证281

13.2.3 使用窗体身份验证282

13.2.4 Kerberos疑难解答282

13.3 授权问题疑难解答282

13.3.1 检查Windows ACL282

13.3.2 检查标识283

13.3.3 检查<authorization>元素283

13.4 ASP.NET283

13.4.1 启用跟踪功能283

13.4.2 配置设置284

13.5 确定标识284

13.5.1 确定Web页中的标识284

13.5.2 确定Web服务中的标识287

13.5.3 确定Visual Basic 6 COM对象中的标识287

13.6 .NET远程处理288

13.7 SSL288

13.8 审核和记录289

13.8.1 Windows安全日志289

13.8.2 SQL Server审核289

13.8.3 IIS记录290

13.9 疑难解答工具291

13.9.1 File Monitor(FileMon.exe)291

13.9.2 Fusion Log Viewer(Fuslogvw.exe)291

13.9.3 ISQL.exe292

13.9.4 Windows Task Manager292

13.9.5 Network Monitor(NetMon.exe)293

13.9.6 Registry Monitor(regmon.exe)293

13.9.7 WFetch.exe293

13.9.8 Visual Studio.NET工具293

13.9.9 WebServiceStudio293

13.9.10 Windows 2000 Resoure Kit294

附录A 参考295

A.1 如何创建自定义账户来运行ASP.NET295

A.2 如何对Active Directory使用窗体身份验证301

A.3 如何对SQL Server 2000使用窗体身份验证309

A.4 如何通过窗体身份验证创建GenericPrincipal对象318

A.5 如何对Windows 2000实现Kerberos委托324

A.6 如何实现IPrincipal326

A.7 如何创建DPAPI库335

A.8 如何从ASP.NET使用DPAPI(计算机存储区)343

A.9 如何通过Enterprise Services从ASP.NET使用DPAPI(用户存储区)348

A.10 如何创建加密库359

A.11 如何在注册表中存储加密的连接字符串369

A.12 如何通过Enterprise Services使用基于角色的安全性375

A.13 如何使用客户端证书从ASP.NET调用Web服务380

A.14 如何使用SSL调用Web服务391

A.15 如何在Windows服务中装载远程对象395

A.16 如何在Web服务器上设置SSL400

A.17 如何设置客户端证书404

A.18 如何使用IPSec在两台服务器之间提供安全通信408

A.19 如何使用SSL保护与SQL Server 2000之间的通信415

附录B 配置的存储位置和编辑工具423

附录C 工作内幕429

C.1 IIS和ASP.NET处理429

C.2 ASP.NET管道处理430

附录D ASP.NET标识矩阵437