Web系統(tǒng)常見(jiàn)威脅

滲透測(cè)試用平臺(tái)/工具介紹

1、Kali（BT）平臺(tái)介紹

2、appscan漏洞掃描工具簡(jiǎn)介：

3、appscan source代碼掃描工具簡(jiǎn)介

4、Webinspect漏洞掃描工具簡(jiǎn)介

5、WVS掃描工具

6、Metasploit 平臺(tái)簡(jiǎn)介

7、Burpsuite測(cè)試工具簡(jiǎn)介

OWASP TOP 10介紹

1、跨站腳本XSS 2、SQL注入攻擊 3、不安全的直接對(duì)象引用

典型Web攻擊過(guò)程

1、信息搜集和分析 2、工具掃描及結(jié)果分析 3、漏洞驗(yàn)證及利用 4、獲取系統(tǒng)登錄權(quán)限

5、提升權(quán)限 6、安裝后門(mén) 7、嗅探和掃描其它系統(tǒng) 8、清理攻擊痕跡

實(shí)驗(yàn)：Web入侵攻防演練

1、IIS+MSSQL+WIN2003攻防演練 2、Linux+Apache+Mysql+PHP攻防演練

漏洞利用演示及分析（中間件，加密）

1、Struts 2漏洞演示（中間件）

a)Struts 2漏洞利用原理分析 b)Struts 2漏洞利用攻擊過(guò)程演示

c)Struts 2漏洞危害分析 d)Struts 2漏洞防范

2、Oracle Padding attack （加密）

a)Oracle Padding attack漏洞利用原理分析

b)Oracle Padding attack漏洞利用攻擊過(guò)程演示

c)Oracle Padding attack漏洞危害分析

d)Oracle Padding attack漏洞防范

3、Bash （Shellshock）漏洞 (主機(jī))

a)Shellshock漏洞利用原理分析 b)Shellshock漏洞利用攻擊過(guò)程演示

c)Shellshock漏洞危害分析 d)Shellshock漏洞防范

4、心臟出血漏洞（敏感數(shù)據(jù)）

a)心臟出血漏洞利用原理分析 b)心臟出血漏洞利用攻擊過(guò)程演示

c)心臟出血漏洞危害分析 d)心臟出血漏洞防范

5、FCK編輯器漏洞（第三方插件）

a)FCK編輯器漏洞介紹 b)FCK編輯器漏洞漏洞匯總

c)FCK漏洞利用過(guò)程演示 d)FCK漏洞防范方法

演示實(shí)驗(yàn)（攻擊過(guò)程）

1、內(nèi)網(wǎng)DNS緩存投毒劫持會(huì)話 2、其他漏洞（根據(jù)學(xué)員基礎(chǔ)調(diào)整）

Windows/Linux主機(jī)安全漏洞發(fā)現(xiàn)和利用

1、Nessus漏洞掃描器原理介紹 2、漏洞掃描工具的使用 3、漏洞掃描工具報(bào)告分析

4、基于Metasploit平臺(tái)漏洞驗(yàn)證 5、內(nèi)存Shell使用和痕跡清除

6、Rootkit工具介紹 7、多Session管理 8、后門(mén)創(chuàng)建和利用

滲透測(cè)試一般流程

安全從業(yè)人員道德法律要求

安全加固攻擊檢測(cè)

服務(wù)器安全管理

1、常見(jiàn)Web服務(wù)器的安全管理 2、常見(jiàn)應(yīng)用服務(wù)器的安全管理

3、常見(jiàn)操作系統(tǒng)的安全管理 4、常見(jiàn)數(shù)據(jù)庫(kù)的安全管理 5、常見(jiàn)網(wǎng)絡(luò)設(shè)備的安全管理

安全加固實(shí)驗(yàn)

1、Checklist介紹 2、安全配置掃描工具 3、安全加固實(shí)際演練 4、Nessus漏洞掃描對(duì)比

攻擊檢測(cè)和阻斷

1、日志收集和格式化 2、日志關(guān)聯(lián)分析 3、創(chuàng)建分析規(guī)則 4、建立企業(yè)攻擊特征庫(kù)

5、建立企業(yè)攻擊發(fā)現(xiàn)掃描引擎 6、APT攻擊檢測(cè) 7、攻擊性行為檢測(cè)

8、系統(tǒng)告警級(jí)別和流程 9、攻擊自動(dòng)阻斷和隔離

應(yīng)急響應(yīng)

1、BCP/DRP介紹 2、應(yīng)急響應(yīng)流程創(chuàng)建 3、RPO/RTO介紹

4、應(yīng)急響應(yīng)演練 5、計(jì)算機(jī)系統(tǒng)取證介紹 6、常用取證工具

綜合實(shí)驗(yàn)

1、CTF比賽實(shí)驗(yàn) 2、模擬電信系統(tǒng)攻擊實(shí)驗(yàn) 3、計(jì)算機(jī)系統(tǒng)取證工作實(shí)驗(yàn)