口苗的IT之路

作 者：（美）克拉克 著，黄晓磊，李化 译 SQL注入是Internet上最危险、最有名的安全漏洞之一，本书是目前唯一一本专门致力于讲解SQL威胁的图书。本书作者均是专门研究SQL注入的安全专家，他们集众家之长，对应用程序的基本编码和升级维护进行全面跟踪，详细讲解可能引发SQL注入的行为以及攻击者的利用要素，并结合长期实践经验提出了相应的解决方案。针对SQL注入隐蔽性极强的特点，本书重点讲解了SQL注入的排查方法和可以借助的工具，总结了常见的利用SQL漏洞的方法。另外，本书还专门从代码层和系统层的角度介绍了避免SQL注入的各种策略和需要考虑的问题。 　　本书主要内容 　　SQL注入一直长期存在，但最近有所增强。本书包含所有与SQL注入攻击相关的、当前已知的信息，凝聚了由本书作者组成的、无私奉献的SQL注入专家团队的所有深刻见解。 　　什么是SQL注入?理解它是什么以及它的基本原理 　　查找、确认和自动发现SQL注入 　　查找代码中SQL注入时的提示和技巧 　　使用SQL注入创建利用 　　通过设计来避免由SQL攻击所带来的危险 目录： 第1章 什么是SQL注入 　1.1 概述 　1.2 理解Web应用的工作原理 　　1.2.1 一种简单的应用架构 　　1.2.2 一种较复杂的架构 　1.3 理解SQL注入 　1.4 理解SQL注入的产生过程 　　1.4.1 构造动态字符串 　　1.4.2 不安全的数据库配置 　1.5 本章小结 　1.6 快速解决方案 　1.7 常见问题解答 第2章 SQL注入测试 　2.1 概述 　2.2 寻找SQL注入 　　2.2.1 借助推理进行测试 　　2.2.2 数据库错误 　　2.2.3 应用响应 　　2.2.4 SQL盲注 　2.3 确认SQL注入 　　2.3.1 区分数字和字符串 　　2.3.2 内联SQL注入 　　2.3.3 终止式SQL注入 　　2.3.4 时间延迟 　2.4 自动寻找SQL注入 　2.5 本章小结 　2.6 快速解决方案 　2.7 常见问题解答 第3章 复查代码中的SQL注入 　3.1 概述 　3.2 复查源代码中的SQL注入 　　3.2.1 危险的编码行为 　　3.2.2 危险的函数 　　3.2.3 跟踪数据 　　3.2.4 复查PL/SQL和T-SQL代码 　3.3 自动复查源代码第1章 什么是SQL注入 　　3.3.1 YASCA 　　3.3.2 Pixy 　　3.3.3 AppCodeScan 　　3.3.4 LAPSE 　　3.3.5 SWAAT 　　3.3.6 Microsoft SQL注入源代码分析器 　　3.3.7 CAT.NET 　　3.3.8 商业源代码复查工具 　　3.3.9 Ounce 　　3.3.10 Fortify源代码分析器 　　3.3.11 CodeSecure 　3.4 本章小结 　3.5 快速解决方案 　3.6 常见问题解答 第4章 利用SQL注入 　4.1 概述 　4.2 理解常见的利用技术 　4.3 识别数据库 　　4.3.1 非盲跟踪 　　4.3.2 盲跟踪 　4.4 使用UINON语句提取数据 　　4.4.1 匹配列 　　4.4.2 匹配数据类型 　4.5 使用条件语句 　　4.5.1 方法1：基于时间 　　4.5.2 方法2：基于错误 　　4.5.3 方法3：基于内容 　　4.5.4 处理字符串 　　4.5.5 扩展攻击 　　4.5.6 利用SQL注入错误 　　4.5.7 Oracle中的错误消息 　4.6 枚举数据库模式 　　4.6.1 SQL Server 　　4.6.2 MySQL 　　4.6.3 Oracle 　4.7 提升权限 　　4.7.1 SQL Server 　　4.7.2 Oracle 　4.8 窃取哈希口令 　　4.8.1 SQL Server 　　4.8.2 MySQL 　　4.8.3 Oracle 　4.9 带外通信 　　4.9.1 E-mail 　　4.9.2 HTTP/DNS 　　4.9.3 文件系统 　4.10 自动利用SQL注入 　　4.10.1 Sqlmap 　　4.10.2 Bobcat 　　4.10.3 BSQL 　　4.10.4 其他工具 　4.11 本章小结 　4.12 快速解决方案 　4.13 常见问题解答 第5章 SQL盲注利用 　5.1 概述 　5.2 寻找并确认SQL盲注 　　5.2.1 强制产生通用错误 　　5.2.2 注入带副作用的查询 　　5.2.3 拆分与平衡 　　5.2.4 常见的SQL盲注场景 　　5.2.5 SQL盲注技术 　5.3 使用基于时间的技术 　　5.3.1 延迟数据库查询 　　5.3.2 基于时间推断的考虑 　5.4 使用基于响应的技术 　　5.4.1 MySQL响应技术 　　5.4.2 SQL Server响应技术 　　5.4.3 Oracle响应技术 　　5.4.4 返回多位信息 　5.5 使用非主流通道 　　5.5.1 数据库连接 　　5.5.2 DNS渗漏 　　5.5.3 E-mail渗漏 　　5.5.4 HTTP渗漏 　5.6 自动SQL盲注利用 　　5.6.1 Absinthe 　　5.6.2 BSQL Hacker 　　5.6.3 SQLBrute 　　5.6.4 Sqlninja 　　5.6.5 Squeeza 　5.7 本章小结 　5.8 快速解决方案 　5.9 常见问题解答 第6章 利用操作系统 　6.1 概述 　6.2 访问文件系统 　　6.2.1 读文件 　　6.2.2 写文件 　6.3 执行操作系统命令 　6.4 巩固访问 　6.5 本章小结 　6.6 快速解决方案 　6.7 常见问题解答 　6.8 尾注 第7章 高级话题 　7.1 概述 　7.2 避开输入过滤器 　　7.2.1 使用大小写变种 　　7.2.2 使用SQL注释 　　7.2.3 使用URL编码 　　7.2.4 使用动态的查询执行 　　7.2.5 使用空字节 　　7.2.6 嵌套剥离后的表达式 　　7.2.7 利用截断 　　7.2.8 避开自定义过滤器 　　7.2.9 使用非标准入口点 　7.3 利用二阶SQL注入 　7.4 使用混合攻击 　　7.4.1 修改捕获的数据 　　7.4.2 创建跨站脚本 　　7.4.3 在Oracle上运行操作系统命令 　　7.4.4 利用验证过的漏洞 　7.5 本章小结 　7.6 快速解决方案 　7.7 常见问题解答 第8章 代码层防御 　8.1 概述 　8.2 使用参数化语句 　　8.2.1 Java中的参数化语句 　　8.2.2 .NET(C#)中的参数化语句 　　8.2.3 PHP中的参数化语句 　　8.2.4 PL/SQL中的参数化语句 　8.3 输入验证 　　8.3.1 白名单 　　8.3.2 黑名单 　　8.3.3 Java中的输入验证 　　8.3.4 .NET中的输入验证 　　8.3.5 PHP中的输入验证 　8.4 编码输出 　8.5 规范化 　8.6 通过设计来避免SQL注入的危险 　　8.6.1 使用存储过程 　　8.6.2 使用抽象层 　　8.6.3 处理敏感数据 　　8.6.4 避免明显的对象名 　　8.6.5 创建数据库Honeypot 　　8.6.6 附加的安全开发资源 　8.7 本章小结 　8.8 快速解决方案 　8.9 常见问题解答 第9章 平台层防御 　9.1 概述 　9.2 使用运行时保护 　　9.2.1 Web应用防火墙 　　9.2.2 截断过滤器 　　9.2.3 不可编辑的输入保护与可编辑的输入保护 　　9.2.4 URL策略/页面层策略 　　9.2.5 面向方面编程 　　9.2.6 应用入侵检测系统 　　9.2.7 数据库防火墙 　9.3 确保数据库安全 　　9.3.1 锁定应用数据 　　9.3.2 锁定数据库服务器 　9.4 额外的部署考虑 　　9.4.1 最小化不必要信息的泄露 　　9.4.2 提高Web服务器日志的冗余 　　9.4.3 在独立主机上部署Web服务器和数据库服务器 　　9.4.4 配置网络访问控制 　9.5 本章小结 　9.6 快速解决方案 　9.7 常见问题解答 第10章 参考资料 　10.1 概述 　10.2 SQL入门 　10.3 SQL注入快速参考 　　10.3.1 识别数据库平台 　　10.3.2 Microsoft SQL Server备忘单 　　10.3.3 MySQL备忘单 　　10.3.4 Oracle备忘单

CISA考试各章重点知识点粗略总结。文档考点不全，只概括重要考点，除第二章有一个不考的表外，基本上都是极其重要的考点。 物有所值。 目录 角色职责 第一章 基本职责归纳 项目流程RACI 抽样方法及作用 职业独立性与组织独立性区别： 对独立性/客观性是否造成危害的情况： 证据属性 审计技术比较 其他考点： 信息审计顺序 第二章 基本职责归纳 安全治理成果与管理职责关系 信息系统职责分离 风险应对措施及举例 控制措施及作用 常用工具/分析方法的区别 其他考点： …… 等

本人根据ISC2官方的CPE英文要求文档，翻译的中文版。文档适合ISC2的各种认证。由于本人英文水平欠佳，可能有不正确的地方，可以参考官方指南来看。 概述 CPE的一般要求 所需的CPE学分数目 专注 多个证书 延期的CPE 如果不符合要求 CPE活动 A组和B组的CPE积分 A组和B组积分所示凭证 计算CPE学分 参加会议 参加厂商演讲——仅限A组 完成更高的学术课程 准备简报/演讲/培训- A组或B组学分 发布一个安全的文章或书籍——仅限A组 为专业的安全公司、组织或它们的公司（如果有）执行董事会服务——仅限A组..20 完成自学，并参加基于电脑数据库的练习 (Computer-Based Training ，CBT)，网络广 播和播客 阅读网络安全书籍/杂志——仅限A组 …… …… ……

[项目管理学全书].戚安邦.文字版，全书320页 《项目管理学》目录 第一章 项目与项目管理 第一节 项目的概念 一、项目的定义 二、 项目的特性 三、 项目与运营的不同 四、项目的分类 第二节 项目管理的概念 一、项目管理的定义 二、项目管理的基本特性 第三节 项目管理的发展历程 一、国际上项目管理的发展历程 二、我国项目管理的发展历程 第四节 项目管理的知识体系 一、项目管理知识体系的构成 二、项目管理知识与其他知识之间的关系 三、项目管理所涉及的一般管理知识 第二章 项目管理过程与项目生命周期 第一节 项目工作阶段的划分 一、 一般项目的工作阶段划分 二、项目定义与决策阶段的工作 三、项目计划与设计阶段的工作 四、项目实施与控制阶段的工作 五、项目的完工与交付阶段 第二节 项目管理过程 一、项目过程 二、项目管理过程 三、项目管理具体过程之间的关系 第三节 项目管理具体过程 一、项目管理具体过程的描述 二、各个项目管理具体过程的描述 三、项目管理过程的具体应用 第四节 项目的生命周期 一、项目生命周期的定义 二、项目生命周期的内容 三、项目生命周期的描述 第三章 项目组织管理与项目经理 第一节 项目相关利益主体 一、项目主要的相关利益主体 二、项目相关利益主体之间的关系 第二节 项目实施组织的典型结构 一、直线职能型组织 二、项目型组织 三、矩阵型组织 四、组合型组织 第三节 项目团队 一、团队的定义与特性 二、团队精神与团队绩效 三、影响团队绩效的因素 第四节 项目经理 一、项目经理的角色与职责 二、 项目经理的技能要求 三、 项目经理的素质要求 第四章 项目的集成管理 第一节 项目集成管理的基本概念 一、项目的集成管理的概念 二、项目集成管理的特性 三、项目集成管理的主要应用 第二节 项目集成计划的制定 一、项目集成计划 二、项目集成计划制定方法与技术 三、项目集成计划的制定工作与结果 四、项目集成计划工作的结果 第三节 项目集成计划的实施 一、项目集成计划实施中所需的信息 二、项目集成计划实施的管理工作与原则 三、项目集成计划实施的结果 第四节 项目变更的总体控制 一、项目变更的总体控制 二、项目变更的总体控制所需信息 三、项目变更总体控制的方法与工具 四、项目变更总体控制的结果 第五章 项目的范围管理 第一节 项目范围管理的概述 一、项目范围及其管理的概念 二、项目范围管理的主要工作 三、项目范围管理的作用 第二节 项目的起始工作 一、选择和定义项目范围的依据 二、选择和定义项目的方法 第三节 制定项目的范围计划 一、制定项目范围计划的概念 二、编制项目范围计划的依据 三、制定项目范围计划的方法和工具 四、制定项目范围计划的工作结果 第四节 项目范围的定义 一、项目范围定义的依据 二、项目范围定义的方法和技术 三、项目范围定义的工作结果 第四节 项目范围的确认 一、项目范围确认的概念 二、项目范围确认的对象和依据 三、项目范围确认的方法和技术 四、项目范围确认的结果 第五节 范围变更控制 一、项目范围变更控制的概述 二、项目范围变更控制的依据 三、项目范围变更控制方法和技术 四、项目范围变更控制的结果 第六章 项目的时间管理 第一节 项目活动的界定 一、项目活动界定的概念及其所需信息 二、项目活动界定的方法 三、项目活动界定的结果 第二节 项目活动的排序 一、项目活动排序的概念 二、项目活动排序的依据 三、项目活动排序的方法 ………………………………