?
目標(biāo)收益
程序因?yàn)槭裁炊a(chǎn)生了安全隱患
安全隱患會(huì)如何被惡意用戶(hù)利用
安全隱患會(huì)產(chǎn)生什么樣的影響
在編程時(shí)使用什么方法能消除這些安全隱患
這些方法是如何消除這些安全隱患的
培訓(xùn)對(duì)象
軟件開(kāi)發(fā)人員，架構(gòu)師
學(xué)員基礎(chǔ)
簡(jiǎn)單了解軟件開(kāi)發(fā)安全；
課程大綱
?
| 主題 |
內(nèi)容 |
|
實(shí)驗(yàn)環(huán)境的搭建
|
1.1 VMPlayer 安裝與虛擬機(jī)導(dǎo)入
1.2 確認(rèn)網(wǎng)絡(luò)連接及服務(wù)器運(yùn)行
1.3 Fiddler 抓取調(diào)試 HTTP 數(shù)據(jù)包
|
|
Web安全基礎(chǔ)
|
2.1 HTTP與會(huì)話(huà)管理
2.1.1 請(qǐng)求與相應(yīng)消息
2.1.2 狀態(tài)行與相應(yīng)頭
2.1.3 GET 與 POST
2.1.4 Hidden 參數(shù)
2.1.5 Basic 認(rèn)證
2.1.6 通過(guò) Cookie 進(jìn)行會(huì)話(huà)管理
2.2 被動(dòng)攻擊與同源策略
2.2.1 主動(dòng)攻擊與被動(dòng)攻擊
2.2.2 同源策略
2.2.3 JavaScript 以外的跨域訪(fǎng)問(wèn)
|
|
輸入處理與安全性
|
3.1 輸入校驗(yàn)
3.2 二進(jìn)制安全與空字節(jié)攻擊
3.3 正則表達(dá)式
|
|
跨站腳本XSS
|
4.1 基礎(chǔ)篇
4.1.1 攻擊手段與影響
4.1.2 反射型與存儲(chǔ)型 XSS
4.1.3 XSS安全隱患產(chǎn)生原因
4.2 進(jìn)階篇
4.2.1 href與src的XSS
4.2.2 動(dòng)態(tài)JavaScript 的 XSS
4.2.3 DOM Based XSS
|
|
SQL注入攻擊
|
5.1 攻擊手段與影響
5.1.1 UNION SELECT 導(dǎo)致信息泄露
5.1.2 使用SQL繞過(guò)認(rèn)證
5.1.3 通過(guò) SQL 注入攻擊篡改數(shù)據(jù)5.2 對(duì)策
|
|
跨站請(qǐng)求偽造 (CSRF)
|
6.1 攻擊手段與影響
6.1.1 CSRF與XSS
6.1.2 存在確認(rèn)頁(yè)面時(shí)的 CSRF
6.1.3 安全隱患產(chǎn)生原因6.2 對(duì)策
|
|
不完善的會(huì)話(huà)管理
|
7.1 會(huì)話(huà)劫持的原因與影響
7.1.1 預(yù)測(cè)會(huì)話(huà)ID
7.1.2 竊取會(huì)話(huà)ID
7.1.3 挾持會(huì)話(huà)ID
7.2 會(huì)話(huà)ID可預(yù)測(cè)
7.2.1 安全隱患產(chǎn)生原因
7.2.2 對(duì)策
7.3 會(huì)話(huà)ID嵌入U(xiǎn)RL
7.3.1 攻擊手段與影響
7.3.2 安全隱患產(chǎn)生原因
7.3.3 對(duì)策
7.4 固定會(huì)話(huà)ID
7.4.1 攻擊手段與影響
7.4.2 安全隱患產(chǎn)生原因7.4.3 對(duì)策
|
|
重定向隱患
|
8.1 自由重定向漏洞
8.1.1 攻擊手段與影響
8.1.2 安全隱患產(chǎn)生原因
8.1.3 對(duì)策
8.2 HTTP 消息頭注入
8.2.1 攻擊手段與影響
8.2.2 安全隱患產(chǎn)生原因8.2.3 對(duì)策
|
|
Cookie相關(guān)安全隱患
|
9.1 Cookie安全屬性設(shè)置不完善
9.1.1 攻擊手段與影響
9.1.2 安全隱患產(chǎn)生原因9.1.3 對(duì)策
|
|
發(fā)送郵件的安全隱患
|
10.1 郵件頭注入漏洞
10.1.1 攻擊手段與影響 （添加收件人，篡改正文）
10.1.2 安全隱患產(chǎn)生原因
10.1.3 對(duì)策
|
|
文件處理的安全隱患
|
11.1 目錄遍歷漏洞
11.1.1 攻擊手段與影響
11.1.2 安全隱患產(chǎn)生原因
11.1.3 對(duì)策
11.2 內(nèi)部文件被公開(kāi)
11.2.1 攻擊手段與影響
11.2.2 安全隱患產(chǎn)生原因
11.2.3 對(duì)策
|
|
其他安全隱患
|
12.1 其他安全隱患
12.1.1 OS命令注入漏洞
12.1.2 文件上傳使服務(wù)器執(zhí)行腳本
12.1.3 文件下載引起跨站腳本
12.1.4 文件包含攻擊
12.1.5 Eval注入
12.1.6 共享資源導(dǎo)致的問(wèn)題
|
|
典型的安全功能
|
13.1 認(rèn)證功能
13.1.1 針對(duì)SQL注入攻擊
13.1.2 針對(duì)暴力破解的對(duì)策
13.1.3 密碼保存的方法
13.1.4 如何實(shí)現(xiàn)安全的自動(dòng)登錄
13.2 賬號(hào)管理
13.2.1 應(yīng)對(duì)自動(dòng)注冊(cè)
13.2.2 修改密碼郵箱
13.2.3 密碼找回
13.2.4 賬號(hào)刪除凍結(jié)
13.3 授權(quán)管理
13.3.1 典型的授權(quán)漏洞
13.3.2 授權(quán)管理架構(gòu)設(shè)計(jì)
13.4 日志輸出
|
|
提升Web 網(wǎng)站的安全性
|
14.1 防范偽裝攻擊的對(duì)策
14.1.1 針對(duì) DNS 服務(wù)器的攻擊
14.1.2 ARP 欺騙攻擊
14.1.3 釣魚(yú)攻擊
14.4.4 對(duì)策 引入 SSL
14.2 防范網(wǎng)絡(luò)監(jiān)聽(tīng)，篡改的對(duì)策
14.2.1 中間人攻擊
14.2.2 對(duì)策 引入 SSL
|
|
滲透測(cè)試簡(jiǎn)介
|
15.1 Metasploit 使用簡(jiǎn)介
15.2 瀏覽器滲透攻擊實(shí)例 MS11-050 安全漏洞
|
5
（7942人評(píng)價(jià)）
