課程大綱： 計算機突發(fā)事件應急處理與網絡安全綜合治理培訓
信息安全概述與案例分析
（1）信息安全形勢和法律法規(guī)
信息安全新技術發(fā)展
新國內信息安全法律條款
新年度信息安全重大事件
（2）內部安全事件分析
內部泄密案例分析
內部網絡運營安全事故案例分析
企業(yè)客戶隱私泄密案例分析
內部網絡運營安全事故案例分析
（3）外部安全事件講解
黑客入侵案例分析
勒索病毒案例分析
釣魚郵件講解
（4）金融業(yè)典型安全問題分析
PCI-DSS的安全要求
勒索病毒案例分析
釣魚郵件講解
第三方支付安全
點擊劫持，瀏覽器劫持等客戶端安全問題
基于ATT&CK剖析主流安全攻擊手段充分利用ATT&CK知識庫
ATT&CK知識庫詳細介紹
與Kill-chain的關系
PRE-ATT&CK
EnterpriseATT&CK
ATT&CKforCloud
ATT&CKforMobile
基于ATT&CK構建檢測能力
基于ATT&CK衡量防御水平
基于ATT&CK實現產品評估
APT攻擊分析
分解APT攻擊
充分使用att&ck?navigator
針對授課內容的實驗：
攻擊演練環(huán)境搭建：安全攻防實驗環(huán)境模擬
ATT&CK框架的使用實例
ATT&CK開源項目介紹
Web應用安全滲透測試概述
(1)Web應用安全滲透測試概述
HTTP協議分析概述
安全基本概念
OWASP概述
國內Web威脅發(fā)展與趨勢
Web滲透測試主要類型和思路
分層的理念和邊界的概念
縱深防御與安全意識
(2)Web應用信息收集技術
發(fā)現Web應用架構
識別主機/中間件/數據庫相關信息
識別基礎網絡架構和目標系統安全防御水平
防御水平
探索目標系統的目錄結構
使用爬蟲技術，探索目標網站
開源情報分析方法介紹
(3)注入類攻擊技術
注入原理概述
命令注入、文件注入、SQL注入、盲注等攻擊技術
SQLMAP等自動化工具介紹
使用Python編寫注入驗證腳本
注入漏洞的防御方法
常見注入漏洞的實例演示
(4)XSS類攻擊技術
XSS/CSRF攻擊原理概述，可能造成的危害
XSS攻擊的分類
XSS攻擊的防御思路
CSRF攻擊思路
(5)反序列化漏洞介紹
反序列化攻擊原理概述，可能造成的危害
反序列化漏洞的挖掘
Weblogic反序列化漏洞演示
Fastjson反序列化漏洞挖掘與利用
(6)其他OWASP top 10漏洞
不安全的對象直接引用
文件上傳漏洞
XXE>漏洞
不安全的加密和傳輸
失效的會話管理
其他常見漏洞（學員定義）
(7)業(yè)務邏輯漏洞測試
業(yè)務邏輯定義和危害
業(yè)務邏輯漏洞挖掘方法
典型業(yè)務邏輯漏洞介紹
滲透測試介紹
(8)典型Web攻擊過程與防護
信息搜集和分析
工具掃描及結果分析
漏洞驗證及利用
獲取系統登錄權限
提升權限
安裝后門
嗅探和掃描其它系統
清理攻擊痕跡
滲透測試標準介紹
(9)滲透測試平臺/工具介紹
Kali（BT）平臺介紹
Metasploit 平臺簡介
CS介紹
Nmap詳細使用介紹
Nessus/Nexpose使用介紹
Appscan/Appspider使用介紹
(10)移動應用安全測試
1.移動應用安全測試工具與平臺
2.安卓APP安全測試用例
3.IOS應用安全測試用例
4.移動應用十大安全風險和應對措施
(11)網絡安全等級保護三級要求與安全測試
等保三級通用要求實踐指南（2.0）
等保三級擴展安全要求（2.0）
應用安全功能與等保要求映射
安全管理要求與等保要求映射
1、任意文件讀?。和ㄟ^對CVE-2017-5223漏洞的解析任意文件讀取漏洞
2、文件上傳nginx解析漏洞復現：用戶對于nginx的配置不當造成的解析漏洞getshell
3、Lotuscms漏洞利用：通過對靶機目錄的爆破，exp的利用并提權拿到root權限
4、ssrf 內網主機探測攻擊內網web：通過對sstf漏洞獲取到內網主機網段，信息收集，并通過命令執(zhí)行getshell
5、利用php弱類型購買商品：php弱類型的繞過，并了解rsa算法
6、php反序列化漏洞：因為管理員的疏忽，所以我們拿到源代碼進行審計，并利用反序列化漏洞getshell
7、CRLF頭注入：通過對CRLF頭部注入使其加載js達到xssgetflag
8、php md5弱類型繞過：2種繞過md5弱類型的方法，再通過hash碰撞獲得flag
9、SSTI服務器模版注入：Flask（Jinja2） 服務端模板注入漏洞，獲取eval函數并執(zhí)行任意python代碼的POC：
10、遠程代碼執(zhí)行漏洞：CVE-2017-4971 SpEL表達式注入漏洞，終造成任意命令執(zhí)行
11、Xss漏洞復現：CVE-2017-12794 Django debug page XSS漏洞
12、Sql注入漏洞：zabbixlatest.php SQL注入漏洞
13、任意文件讀取漏洞：CVE-2016-9086任意文件讀取
14、wordpresscms漏洞：wordpress插件漏洞，getshell后提權
15、文件上傳&編碼繞過&命令執(zhí)行：從文件上傳到命令執(zhí)行提權getflag
16、MS17010漏洞解析
17、CVE-2017-7494解析
18、文件讀取&命令執(zhí)行提權：文件讀取到發(fā)現命令執(zhí)行
加入高級會員獲得助教答疑
