ASP.NET安全应用程序开发

第1章 安全简介
1.1 相关背景
1.2 安全基础
1.2.1 身份验证
1.2.2 授权
1.2.3 安全通信
1.3 各种开发技术
1.4 设计原则
1.5 本章小结
第2章 ASP.NET应用程序的安全模型
2.1 .NET Web应用程序
2.1.1 逻辑层
2.1.2 物理部署模型
2.2 实现技术
2.3 安全体系结构
2.3.1 跨层安全性
2.3.2 身份验证
2.3.3 授权
2.3.4 关守和关口
2.4 .NET框架安全机制
2.4.1 代码访问安全性
2.4.2 主体和标识
2.4.3 WindowsPrinclpal和Windowsldentlty
2.4.4 GenericPrincipal和相关的标识对象
2.4.5 ASP.NET和HttpContext.User
2.4.6 远程处理和Web服务
2.5 本章小结
第3章 身份验证和授权
3.1 设计身份验证和授权策略
3.1.1 确定资源
3.1.2 选择授权策略
3.1.3 选择用于资源访问的标识
3.1.4 考虑标识的流动
3.1.5 选择身份验证方式
3.1.6 确定如河流动标识
3.2 授权方式
3.2.1 基于角色的授权
3.2.2 基于资源的授权
3.2.3 资源访问模型
3.2.4 受信任于系统模型
3.2.5 模拟/委托模型
3.2.6 选择资源访问模型
3.3 流动标识
3.3.1 应用程序级的标识流动和操作系统级的标识流动
3.3.2 模拟和委托
3.4 基于角色的授权
3.4.1 .NET角色
3.4.2 Enterprise Services（COM＋）角色
3.4.3 SQL Server用户定义的数据库角色
3.4.4 SQL Server应用程序角色
3.4.5 .NET角色和Enterprise Services（COM＋）角色
3.4.6 使用.NET角色
3.5 选择身份验证机制
3.5.1 Internet方案
3.5.2 Intranet／Extranet方案
3.5.3 各种身份验证机制的比较
3.6 本章小结
第4章 安全通信
4.1 了解需要保护的内容
4.2 SSL／TLS
4.3 IPSeC
4.4 RPC加密
4.5 点对点安全
4.5.1 浏览器到Web服务器的通信
4.5.2 Web服务器到远程应用程序服务器的通信
4.5.3 应用程序服务器到数据库服务器的通信
4.5.4 对SQL Server使用SSL
4.6 在IPSec和SSL之间进行选择
4.7 Farming和负载平衡
4.8 本章小结
第5章 Intranet安全机制
5.1 ASP.NET到SQL Server
5.1.1 特性
5.1.2 提供安全保护
5.1.3 结果
5.1.4 安全配置步骤
5.1.5 分析
5.1.6 问题和解答
5.1.7 相关方案
5.2 ASP.NET到EnterPrise Services到SQL SerCf
5.2.1 特性
5.2.2 提供安全保护
5.2.3 结果
5.2.4 安全配置步骤
5.2.5 分析
5.2.6 缺陷
5.3 ASP.NET到Web服务到SQL Server
5.3.1 特性
5.3.2 提供安全保护
5.3.3 结果
5.3.4 安全配置步骤
5.3.5 分析
5.3.6 缺陷
5.3.7 问题和解答
5.3.8 相关方案
5.4 ASP.NET到远程处理到SQL Serer
5.4.1 特性
5.4.2 提供安全保护
5.4.3 结果
5.4.4 安全配置步骤
5.4.5 分析
5.4.6 缺陷
5.5 使原始调用者流动到数据库
5.5.1 ASP.NET到SQL Server
5.5.2 ASP.NET到EnterPrlseServices 到SQL Server
5.5.3 特性
5.5.4 提供安全保护
5.5.5 结果
5.5.6 安全配置步骤
5.5.7 分析
5.5.8 缺陷
5.6 本章小结
第6章 Extranet安全机制
6.1 公开Web服务
6.1.1 特性
6.1.2 提供安全保护
6.1.3 结果
6.1.4 安全配置步骤
6.1.5 分析
6.1.6 缺陷
6.1.7 问题和解答
6.2 公开Web应用程序
6.2.1 方案特性
6.2.2 提供安全保护
6.2.3 结果
6.2.4 分析
6.2.5 缺陷
6.3 本章小结
第7章 Internet安全机制
7.1 ASP.NET到SQL Server
7.1.1 特性
7.1.2 提供安全保护
7.1.3 结果
7.1.4 安全配置步骤
7.1.5 分析
7.1.6 缺陷
7.1.7 相关方案
7.2 ASP.NET到远程Enterprise Services到SQL Server
7.2.1 特性
7.2.2 提供安全保护
7.2.3 结果
7.2.4 安全配置步骤
7.2.5 分析
7.2.6 缺陷
7.2.7 相关方案
7.3 本章小结
第8章 ASP.NET安全机制
8.1 ASP.NET安全体系结构
8.2 身份验证和授权策略
8.2.1 可用的授权选项
8.2.2 使用模拟功能的Windows身份验证
8.2.3 不使用模拟功能的Windows身份验证
8.2.4 使用固定标识的Windows身份验证
8.2.5 窗体身份验证
8.2.6 护照身份验证
8.3 配置安个性
8.3.1 配置IIS安全性
8.3.2 配置ASP.NET安全性
8.3.3 保护资源安全
8.3.4 保护通信安全
8.4 通过编程实现安全性
8.4.1 一种授权模式
8.4.2 创建自定义IPrincipal类
8.5 Windows身份验证
8.6 窗体身份验证
8.6.1 窗体身份验证的开发步骤
8.6.2 窗体实现指南
8.6.3 装载多个使用窗体身份验证的应用程序
8.6.4 无cookie的窗体身份验证
8.7 护照身份验证
8.7.1 将ASP.NET配置为使用护照身份验证
8.7.2 将护照标识映射为Global.asax中的角色
8.7.3 测试角色成员关系
8.8 自定义身份验证
8.9 ASP.NET的进程标识
8.9.1 使用具有最低权限的账户
8.9.2 避免使用SYSTEM账户
8.9.3 使用默认的ASPNET账户
8.1O 模拟
8.10.1 模拟功能和本地资源
8.10.2 模拟功能和远程资源
8.10.3 模拟和线程
8.11 访问系统资源
8.11.1 访问事件日志
8.11.2 访问注册表
8.12 访问COM对象
8.13 访问网络资源
8.13.1 使用ASP.NET进程标识
8.13.2 使用服务组件
8.13.3 使用匿名Internet用户账户
8.13.4 使用LogonUser并模扎特定的Windows标识
8.13.5 使用原始调用者
8.13.6 访问UNC文件共享上的文件
8.13.7 访问非Windows网络资源
8.14 安全通信
8.15 存储机密信息
8.15.1 在ASP.NET中存储机密信息的选项
8.15.2 在单独的逻辑卷上的文件中存储机密信息
8.16 保护会话状态和视图状态
8.16.1 保护视图状态
8.16.2 保护Cookie
8.16.3 保护SQL会话状态
8.17 Web场
8.17.1 会话状态
8.17.2 DPAPI
8.17.3 在Web场中使用窗体身份验证
8.17.4 ＜machineKey＞元素
8.18 本章小结
第9章 Enterpr ise Services安全机制
9.1 安全体系结构
9.1.1 关守和关口
9.1.2 使用服务器应用程序获得改进的安全性
9.1.3 服务器应用程序和库应用程序的安全性
9.1.4 代码访问安全性的要求
9.2 配置安全性
9.2.1 配置服务器应用程序
9.2.2 配置ASP.NET客户端应用程序
9.2.3 对Enterprise Services应用程序配置模拟级别
9.3 通过编程实现安全性
9.3.1 编程方式的基于角色安全性
9.3.2 标识调用者
9.4 选择一个过程标识
9.4.1 避免以交互用户的身份运行服务器应用程序
9.4.2 使用具有最低权限的自定义账户
9.5 访问网络资源
9.5.1 使用原始调用者
9.5.2 使用当前的进程标识
9.5.3 使用特定的服务账户
9.6 流动原始调用者
9.7 RPC加密
9.8 创建服务组件
9.8.1 DLL锁定问题
9.8.2 版本控制
9.8.3 Querylnterface异常
9.9 DCOM和防火墙
9.10 从ASP.NET调用服务组件
9.10.1 调用者的标识
9.10.2 使用Windows身份验证和模拟功能
9.10.3 在Machine.config中配置身份验证和模拟特性
9.10.4 配置接口代理
9.11 安全概念
9.11.1 Enterprlse Services（COM＋）角色和.NET角色
9.11.2 身份验证
9.11.3 模拟
9.12 本章小结
第10章 Web服务安全机制
10.1 Web服务安全模型
10.1.1 平台／传输级（点对点）安全
10.1.2 应用程序级安全
10.1.3 消息级（端对端）安全
10.2 平台／传输级安全体系结构
10.3 身份验证和授权策略
10.3.1 使用模拟功能的Windows身份验证
10.3.2 不使用模拟功能的Windows身份验证
10.3.3 使用固定标识的Windows身份验证
10.4 配置安全性
10.4.1 配置IIS
10.4.2 配置ASP.NET
10.4.3 保护资源的安全
10.4.4 禁用HTTP－GET和HTTP－POST
10.4.5 安全通信
10.5 将用于身份验证的凭据传递给Web服务
10.5.1 指定用于Windows身份验证的客户端凭据
10.5.2 从非Windows客户端调用Web服务
10.5.3 代理服务器身份验证
10.6 流动原始调用者
10.6.1 Kerberos委托的默认凭据
10.6.2 基本或窗体身份验证的显式凭据信息
10.7 受信任的子系统
10.7.1 流动调用者的标识
10.7.2 配置步骤
10.8 访问系统资源
10.9 访问网络资源
10.10 访问COM对象
10.11 为Web服务使用客户端证书
10.11.1 利用证书对Web例览器客户端进行身份验证
10.11.2 使用受信任子系统模型
10.12 安全通信
10.12.1 传输级选项
10.12.2 消息级选项
10.13 本章小结
第11章 .NET远程处理安全机制
11.1 .NET远程处理体系结构
11.1.1 远程处理接收器
11.1.2 ASP.NET为宿主时的请求剖析
11.1.3 ASP.NET和HTTP信道
11.2 .NET远程处理关守
11.3 身份验证
11.3.1 装载于ASP.NET
11.3.2 装载于Windows服务
11.4 授权
11.5 身份验证和授权策略
11.6 访问系统资源
11.7 访问网络资源
11.8 将用于身份验证的凭据传递给远程对象
11.9 流动原始调用者
11.9.1 Kerberos委托的默认凭据信息
11.9.2 基本或窗体身份验证的显式凭据
11.10 受信任的子系统
11.10.1 流动调用者的标识
11.10.2 选择宿中
11.10.3 配置步骤
11.11 安全通信
11.11.1 平台级选项
11.11.2 消息级选项
11.12 选择宿主进程
11.12.1 建议
11.12.2 装载于ASP.NET
11.12.3 装载于WindowS服务
11.12.4 装载于控制台应用程序
11.13 远程处理与Web服务的比较
11.14 本章小结
第12章 数据访问安全性
12.1 数据访问安全简介
12.1.1 SQL Server关守
12.1.2 受信任子系统和模拟／委托模型的比较
12.2 身份验证
12.2.1 Windows身份验证
12.2.2 SQL身份验证
12.3 授权
12.4 安全通信
12.4.1 安全选项
12.4.2 选择选项
12.5 使用最低权限的连接
12.5.1 数据库信任应用程序
12.5.2 数据库信任不同的角色
12.5.3 数据库信任原始调用者
12.6 创建最低权限的数据库账户
12.7 安全地存储数据库连接字符串
12.7.1 选项
12.7.2 使用DPAPI
12.7.3 使用Web.config和Machine.conflg
12.7.4 使用UDL文件
12.7.5 使用自定义文本文件
12.7.6 使用注册表
12.7.7 使用COM十目录
12.8 根据数据库对用户进行身份验证
12.8.1 保存单向密码哈希值（带有salt值）
12.8.2 创建Salt值
12.8.3 创建哈希值(带有Salt)
12.9 SQL注入攻击
12.9.1 问题
12.9.2 SQL脚本注入攻击
12.9.3 保护模式匹配语句
12.10 审核
12.11 用于SQL Server的进程标识
12.12 本章小结
第13章 安全问题疑难解答
13.1 疑难解答过程
13.2 身份验证问题疑难解答
13.2.1 llS身份验证问题
13.2.2 使用Windows身份验证
13.2.3 使用窗体身份验证
13.2.4 Kerberos疑难解答
13.3 授权问题疑难解答
13.3.1 检查Windows ACL
13.3.2 检查标识
13.3.3 检查＜UthoflZtlofl＞元素
13.4 ASP.NET
13.4.1 启用跟踪功能
13.4.2 配置设置
13.5 确定标识
13.5.1 确定Web页中的标识
13.5.2 确定Web服务中的标识
13.5.3 确定Visual Basic 6 COM对象中的标识
13.6 .NET远程处理
13.7 SSL
13.8 审核和记录
13.8.1 Windows安全日志
13.8.2 SQL Server审核
13.8.3 IIS记录
13.9 疑难解答工具
13.9.1 File Monitor（FileMon.exe）
13.9.2 Fusion Log Viewer（Fuslogvw.exe）
13.9.3 ISQL.exe
13.9.4 Windows Task Manager
13.9.5 Network Monitor（NetMon.exe）
13.9.6 Registry Monitor（regmon.exe）
13.9.7 WFetch.exe
13.9.8 Visual Studio.NET工具
13.9.9 Webservicestudio
13.9.10 Windows 2000 ResoureKit
附录 A 参考
A.1 如何创建自定义账户来运行ASP.NET
A.2 如何对Active Directory使用窗体身份验证
A.3 如何对SQL Server 2000使用窗体身份验证
A.4 如何通过窗体身份验证创建GenericPrincipal对象
A.5 如何对Windows 2000实现KefbefOS委托
A.6 如何实现IPrinciPal
A.7 如何创建DPAPI库
A.8 如何从ASP.NET使用DPAPI（计算机存储区）
A.9 如何通过Enterprise Services从ASP.NET使用DPAPI（用户存储区）
A.10 如何创建加密库
A.11 如何在注册表中存储加密的连接字符串
A.12 如何通过 Enterprise Services使用基于角色的安全性
A.13 如何使用客户端证书从ASP.NET调用Web服务
A.14 如何使用SSL调用Web服务
A.15 如何在Windows服务中装载力程对象
A.16 如何在Web服务器上设置SSL
A.17 如何设置客户端证书
A.18 如何使用IPSec在两台服务器之间提供安全通信
A.19 如何使用SSL保护与SQL Sery2000之间的通信
附录B 配置的存储位置和编辑工具
附录 C 工作内幕
C.1 llS和ASP.NET处理
C.2 ASP.NET管道处理
附录 D ASP.NET标识矩阵