Web渗透与安全
计算机入侵与防范(共四大部分）
之Web渗透与安全（第三部分）
一、课程优势：
安全人才也是各大企业争先抢要的人才，有的企业为聘请一个安全人才，不甚花费重金聘请，但最后还是一才难求，为培养人才，武汉安迹的安全培训，结合企业用人特点与技术需求；
综合企业招聘需求和人才期望，量身定制企业的实用技术人才；
综合我们学员的特点挖掘企业岗位，做到学员适才适岗；每日实战，理论与实际相结合、为企业培养内核级的安全人才。
二、适合群体：
本科毕业生、计算机相关专业、大学计算机方向教师、系统管理员、网络管理员和广大网络技术爱好者。大、中型网络信息系统管理人员；
Web开发人员，站长或运营公司内技术人员，安全技术从业人员及爱好者；
首席技术官CT0，安全负责人，信息安全主管，网络安全工程师，技术部经理，网络警察，高级安全顾问，其他IT安全相关职位，自主创业。
三、课程大纲：
（一）、安全大事件回顾与思考安全真实案例回顾与讨论
1，安全都涉及什么
2，如何来预防安全事故
3，安全测试的目标和范围
4，安全原理：威胁建模标识资源（敏感数据）
5，创建总体体系结构
6，分解应用程序标识特权代码
7，识别威胁、记录威胁、评价威胁
（二）、Web安全需求分析
1，列出资源：业务数据，应用程序，服务，配置数据，页面
2，建立资源分布图，确定资源位置
3，确定资源信任边界
4，确定资源授权范围
5，建立资源防范目录
（三）、Web应用漏洞及检测方法常见的操作系统漏洞和检查方法
1，常见的数据库漏洞和检查方法
2，Web服务漏洞和检查方法
3，网络通信漏洞和检查方法
4，配置文件漏洞和检查方法
5，其他资源漏洞和检查方法
6，设计安全测试用例确定安全测试点
7，预见可能的入侵事件
8，分析入侵事件的触发条件
（四）、Web入侵常用工具的介绍与使用
1，常见攻击工具Mpack
2，Neosploit
3，ZeuS
4，NukesploitP4ck
5，Phoenix
6，常见安全检查工具IBMRationalAppScan
7，WebInspect
8，NStalker-WAS
9，AcuixWebVulnerabilityScanner（WVS)
10，基础常用工具：明小子、御剑、穿山甲、中国菜刀等
（五）、Web信息收集与安全检测
1，信息收集
2，探查、踩点
3，欺骗
4，会话劫持
5，中间人攻击
6，安全检测、病毒、特洛伊木马和蠕虫
7，破解密码
8，拒绝服务
9，任意执行代码
10，未授权访问
（六）、Web应用常见威胁及其对策
1，标准化漏洞
2，身份验证相关的威胁及其对策
3，针对授权的威胁及其对策
4，针对配置管理的威胁及对策
5，安全的加密
6，对抗针对操作
7，异常处理
8，缓冲区溢出攻击
（七）、Web安全审计和使用日志跟踪安全相关事件
1，将日志写入文件/数据库
2，使用系统安全日志
3，日志异常与跟踪
4，调查取证
（八）、Web入侵防御实战与环境搭建
1，本地Web环境搭建：通过IIS搭建asp.、php、jsp、ftp环境
2，信息收集探测与扫描：利用googlehack、Nmap、Scscannrr、WVS,IBMappScan进行探测与扫描；
3，入侵方式与防御：SQL注入、二次高级注入、绕过,XSS、文件上传、php碰撞、脚本攻击、编辑器漏洞、中转注入、远程代码执行、包含漏洞、遍历目录、暴力破解、终端绕过与突破、旁注与C段、FTP弱口令破解、msf渗透、数据库脱裤与破解、提权；
4，漏洞挖掘与0day
5，社会工程学
6，怎么样才能使您的服务器与WEB站点更安全；
7，内网渗透测试，网络异常数据分析，内网渗透测试原理与实践；
计算机入侵与防范(共四大部分）
之Web渗透与安全（第三部分）
一、课程优势：
安全人才也是各大企业争先抢要的人才，有的企业为聘请一个安全人才，不甚花费重金聘请，但最后还是一才难求，为培养人才，武汉安迹的安全培训，结合企业用人特点与技术需求；
综合企业招聘需求和人才期望，量身定制企业的实用技术人才；
综合我们学员的特点挖掘企业岗位，做到学员适才适岗；每日实战，理论与实际相结合、为企业培养内核级的安全人才。
二、适合群体：
本科毕业生、计算机相关专业、大学计算机方向教师、系统管理员、网络管理员和广大网络技术爱好者。大、中型网络信息系统管理人员；
Web开发人员，站长或运营公司内技术人员，安全技术从业人员及爱好者；
首席技术官CT0，安全负责人，信息安全主管，网络安全工程师，技术部经理，网络警察，高级安全顾问，其他IT安全相关职位，自主创业。
三、课程大纲：
（一）、安全大事件回顾与思考安全真实案例回顾与讨论
1，安全都涉及什么
2，如何来预防安全事故
3，安全测试的目标和范围
4，安全原理：威胁建模标识资源（敏感数据）
5，创建总体体系结构
6，分解应用程序标识特权代码
7，识别威胁、记录威胁、评价威胁
（二）、Web安全需求分析
1，列出资源：业务数据，应用程序，服务，配置数据，页面
2，建立资源分布图，确定资源位置
3，确定资源信任边界
4，确定资源授权范围
5，建立资源防范目录
（三）、Web应用漏洞及检测方法常见的操作系统漏洞和检查方法
1，常见的数据库漏洞和检查方法
2，Web服务漏洞和检查方法
3，网络通信漏洞和检查方法
4，配置文件漏洞和检查方法
5，其他资源漏洞和检查方法
6，设计安全测试用例确定安全测试点
7，预见可能的入侵事件
8，分析入侵事件的触发条件
（四）、Web入侵常用工具的介绍与使用
1，常见攻击工具Mpack
2，Neosploit
3，ZeuS
4，NukesploitP4ck
5，Phoenix
6，常见安全检查工具IBMRationalAppScan
7，WebInspect
8，NStalker-WAS
9，AcuixWebVulnerabilityScanner（WVS)
10，基础常用工具：明小子、御剑、穿山甲、中国菜刀等
（五）、Web信息收集与安全检测
1，信息收集
2，探查、踩点
3，欺骗
4，会话劫持
5，中间人攻击
6，安全检测、病毒、特洛伊木马和蠕虫
7，破解密码
8，拒绝服务
9，任意执行代码
10，未授权访问
（六）、Web应用常见威胁及其对策
1，标准化漏洞
2，身份验证相关的威胁及其对策
3，针对授权的威胁及其对策
4，针对配置管理的威胁及对策
5，安全的加密
6，对抗针对操作
7，异常处理
8，缓冲区溢出攻击
（七）、Web安全审计和使用日志跟踪安全相关事件
1，将日志写入文件/数据库
2，使用系统安全日志
3，日志异常与跟踪
4，调查取证
（八）、Web入侵防御实战与环境搭建
1，本地Web环境搭建：通过IIS搭建asp.、php、jsp、ftp环境
2，信息收集探测与扫描：利用googlehack、Nmap、Scscannrr、WVS,IBMappScan进行探测与扫描；
3，入侵方式与防御：SQL注入、二次高级注入、绕过,XSS、文件上传、php碰撞、脚本攻击、编辑器漏洞、中转注入、远程代码执行、包含漏洞、遍历目录、暴力破解、终端绕过与突破、旁注与C段、FTP弱口令破解、msf渗透、数据库脱裤与破解、提权；
4，漏洞挖掘与0day
5，社会工程学
6，怎么样才能使您的服务器与WEB站点更安全；
7，内网渗透测试，网络异常数据分析，内网渗透测试原理与实践；
