Это продолжение статьи Материалы по хакингу на русском.

Вкратце — я собираю автоматические переводы материалов по хакингу и выкладываю их на сайте библиотеки. В этой подборке — книги для тех, кто хочет разбираться в веб-приложениях, браузерах и сетях: от bug bounty и JavaScript/XSS до Wireshark, Nmap, сетевых протоколов и классических справочников по безопасности веба.

Web Hacking 101: How to Make Money Hacking Ethically

Практическое введение Питера Яворски в этичный веб-хакинг и bug bounty, построенное вокруг реальных раскрытых отчётов из программ Twitter, Shopify, Google, Coinbase, HackerOne, Uber и других компаний. Книга объясняет, как начать искать уязвимости в веб-приложениях, разбирать чужие write-up’ы, понимать логику багов и оформлять отчёты; внутри есть открытые перенаправления, HTTP Parameter Pollution, CSRF, XSS, аутентификация, OAuth и ошибки бизнес-логики.

Карточка книги

Practical Packet Analysis, 3rd Edition: Using Wireshark to Solve Real-World Network Problems

Руководство Криса Сандерса по практическому анализу сетевого трафика с помощью Wireshark, tcpdump и TShark. Книга показывает, как захватывать пакеты, строить фильтры, читать Ethernet, IPv4, IPv6, TCP, UDP, DNS, DHCP, HTTP и SMTP, находить потери и задержки, диагностировать проблемы соединений, разбирать реальные сетевые сценарии, исследовать подозрительный трафик и извлекать полезные артефакты из PCAP.

Карточка книги

The Tangled Web: A Guide to Securing Modern Web Applications

Книга Михала Залевского разбирает безопасность современного веба не как набор отдельных уязвимостей, а как сложную систему из исторических решений, стандартов и компромиссов браузеров. Внутри рассматриваются URL, HTTP, HTML, CSS, JavaScript, cookies, Same-Origin Policy, CORS, типы содержимого, iframe, sandbox, сценарии межсайтового взаимодействия и те тонкие места, где поведение браузера превращается в риск для приложения.

Карточка книги

JavaScript for hackers: Learn to think like a hacker

Практическая книга Гарета Хейза о том, как исследовать странности JavaScript и находить в них уязвимости. Автор учит смотреть на язык глазами атакующего: искать необычное поведение, фаззить синтаксис и DOM, строить XSS payloads, обходить фильтры, использовать техники вроде DOM Clobbering и prototype pollution, а также конструировать JavaScript из минимального набора символов вроде +[]()!.

Карточка книги

Nmap Network Scanning: The Official Nmap Project Guide to Network Discovery and Security Scanning

Официальное руководство по Nmap от Гордона “Fyodor” Лайона, автора проекта. Книга подходит и новичкам, и опытным сетевым специалистам: она объясняет обнаружение узлов, TCP-, UDP- и ping-сканирование, состояния портов, определение сервисов и операционных систем, Nmap Scripting Engine, оптимизацию производительности, обход межсетевых экранов, инвентаризацию сетей, пентест и практическое применение Nmap в администрировании и security auditing.

Карточка книги

Attacking Network Protocols: A Hacker’s Guide to Capture, Analysis, and Exploitation

Глубокое руководство Джеймса Форшоу по исследованию сетевых протоколов с позиции атакующего. Книга ведёт от базовых сетевых понятий к захвату трафика, анализу структуры протоколов, обратной разработке бинарных форматов, написанию прокси и диссекторов, созданию инструментов фаззинга, поиску ошибок проектирования и реализации, а затем к эксплуатации найденных уязвимостей и пониманию того, как такие системы защищать.

Карточка книги

The Browser Hacker’s Handbook

Справочник Уэйда Алкорна, Кристиана Фришо и Микеле Орру о том, как браузер может стать точкой входа в пользовательскую или корпоративную сеть. Авторы рассматривают получение и удержание контроля над браузером, обход Same-Origin Policy, атаки на пользователей, эксплуатацию движков, расширений и плагинов, межпротокольные атаки, DNS-туннелирование, proxying из браузера, атаки на веб-приложения и дальнейшее продвижение после первичного доступа.

Карточка книги

The Web Application Hacker’s Handbook: Finding and Exploiting Security Flaws

Классическое практическое руководство Дафидда Статтарда и Маркуса Пинто по поиску и эксплуатации уязвимостей веб-приложений. Книга последовательно разбирает картографирование приложения, обход клиентских проверок, атаки на аутентификацию, управление сессиями и доступом, ошибки в хранилищах данных, серверные компоненты, бизнес-логику, XSS, автоматизацию атак, анализ исходного кода и методичный подход к полноценному web application pentest.

Карточка книги

The End

Из-за огромного объёма материалов проверить весь текст вручную невозможно. Поэтому буду благодарен за помощь сообщества: читайте и сообщайте о найденных опечатках, неточностях и других ошибках в разделе Issues.

Приятного чтения!

Книги по веб-хакингу