Cyber Shelf

// Comparaison

The Art of Software Security Assessment vs The Database Hacker's Handbook : lequel lire ?

Deux livres de cybersécurité sur AppSec, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Avancé
5/52006
The Art of Software Security Assessment

Identifying and Preventing Software Vulnerabilities

Mark Dowd, John McDonald, Justin Schuh

Référence de 1200 pages sur l'audit de codes C/C++ pour la sécurité : interactions mémoire et entiers complexes, pièges du langage, et comment les vulnérabilités émergent à la frontière entre couches.

Avancé
3/52005
The Database Hacker's Handbook

Defending Database Servers

David Litchfield, Chris Anley, John Heasman, Bill Grindlay

La référence exhaustive 2005 de Litchfield, Anley, Heasman et Grindlay sur l'attaque et la défense d'Oracle, SQL Server, DB2, MySQL, PostgreSQL, Sybase et Informix — l'ère où le moteur de base de données lui-même était la cible facile.

À lire si

Auditeurs, chercheurs de vulnérabilités et développeurs de codebases C/C++. Le livre le plus profond en imprimé sur la lecture de code adversariale. Vieux, dense et toujours indépassé.
Chercheurs de vulnérabilités et DBA intéressés par la généalogie de la sécurité base de données. Les chapitres Oracle et SQL Server restent les références imprimées les plus complètes sur la surface d'attaque interne des moteurs et les patterns que Litchfield a rendus célèbres.

À éviter si

Développeurs web, quiconque travaille exclusivement en langages memory-safe, ou débutants sans exposition C/C++. Le livre est un primer d'audit de 1 200 pages ; rien d'autre ne rivalise en profondeur.
Quiconque a besoin du tradecraft actuel base-de-données cloud (RDS, Aurora, Cosmos, BigQuery), de SQLi moderne couche application (couvert par The Web Application Hacker's Handbook), ou de techniques d'injection NoSQL. Le livre précède presque tout ce qui porte la sécurité base de données 2026.

Points clés

  • Les classes de vulnérabilités (corruption mémoire, problèmes d'entiers, format strings, race conditions) émergent des interactions entre couches ; le livre vous apprend à voir les frontières.
  • Le chapitre sur les problèmes d'entiers est la référence canonique ; la plupart des CVE publiques en C/C++ jusqu'en 2025 remontent encore aux patterns nommés ici par Dowd/McDonald/Schuh.
  • Les études de cas (Apache, Postfix, Solaris, OpenSSL) rendent les abstractions concrètes ; les lire dans l'ordre construit l'œil d'auditeur que rien d'autre ne construit.
  • Les moteurs de base de données étaient autrefois routinement RCE-ables depuis une session peu privilégiée ; les chapitres documentent pourquoi la discipline a glissé vers les bases cloud managées.
  • Le matériel injection PL/SQL Oracle est encore la référence canonique et a influencé une génération de recherche de vulnérabilités.
  • L'argument structurel du livre — chaque base est un OS différent — explique pourquoi la connaissance profonde par moteur est encore requise pour un travail sérieux de sécurité base de données.

Comment ils se comparent

Nous notons The Art of Software Security Assessment plus haut (5/5 contre 3/5 pour The Database Hacker's Handbook). Pour la plupart des lecteurs, The Art of Software Security Assessment est le choix principal et The Database Hacker's Handbook un complément utile.

Les deux livres ciblent un public de niveau avancé : le choix se fait sur la thématique, pas la difficulté.

The Art of Software Security Assessment et The Database Hacker's Handbook couvrent tous les deux AppSec : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

The Art of Software Security Assessment

→ Alternatives à The Art of Software Security Assessment→ Que lire après The Art of Software Security Assessment

The Database Hacker's Handbook

→ Alternatives à The Database Hacker's Handbook→ Que lire après The Database Hacker's Handbook

Thématiques liées

AppSec