實(shí)驗(yàn)環(huán)境的搭建

1.1 VMPlayer 安裝與虛擬機(jī)導(dǎo)入
1.2 確認(rèn)網(wǎng)絡(luò)連接及服務(wù)器運(yùn)行
1.3 Fiddler 抓取調(diào)試 HTTP 數(shù)據(jù)包

Web安全基礎(chǔ)

2.1 HTTP與會(huì)話管理
2.1.1 請(qǐng)求與相應(yīng)消息
2.1.2 狀態(tài)行與相應(yīng)頭
2.1.3 GET 與 POST
2.1.4 Hidden 參數(shù)
2.1.5 Basic 認(rèn)證
2.1.6 通過 Cookie 進(jìn)行會(huì)話管理
2.2 被動(dòng)攻擊與同源策略
2.2.1 主動(dòng)攻擊與被動(dòng)攻擊
2.2.2 同源策略
2.2.3 JavaScript 以外的跨域訪問

輸入處理與安全性

3.1 輸入校驗(yàn)
3.2 二進(jìn)制安全與空字節(jié)攻擊
3.3 正則表達(dá)式

跨站腳本XSS

4.1 基礎(chǔ)篇
4.1.1 攻擊手段與影響
4.1.2 反射型與存儲(chǔ)型 XSS
4.1.3 XSS安全隱患產(chǎn)生原因
4.2 進(jìn)階篇
4.2.1 href與src的XSS
4.2.2 動(dòng)態(tài)JavaScript 的 XSS
4.2.3 DOM Based XSS

SQL注入攻擊

5.1 攻擊手段與影響
5.1.1 UNION SELECT 導(dǎo)致信息泄露
5.1.2 使用SQL繞過認(rèn)證
5.1.3 通過 SQL 注入攻擊篡改數(shù)據(jù)5.2 對(duì)策

跨站請(qǐng)求偽造 (CSRF)

6.1 攻擊手段與影響
6.1.1 CSRF與XSS
6.1.2 存在確認(rèn)頁(yè)面時(shí)的 CSRF
6.1.3 安全隱患產(chǎn)生原因6.2 對(duì)策

不完善的會(huì)話管理

7.1 會(huì)話劫持的原因與影響
7.1.1 預(yù)測(cè)會(huì)話ID
7.1.2 竊取會(huì)話ID
7.1.3 挾持會(huì)話ID
7.2 會(huì)話ID可預(yù)測(cè)
7.2.1 安全隱患產(chǎn)生原因
7.2.2 對(duì)策
7.3 會(huì)話ID嵌入U(xiǎn)RL
7.3.1 攻擊手段與影響
7.3.2 安全隱患產(chǎn)生原因
7.3.3 對(duì)策
7.4 固定會(huì)話ID
7.4.1 攻擊手段與影響
7.4.2 安全隱患產(chǎn)生原因7.4.3 對(duì)策

重定向隱患

8.1 自由重定向漏洞
8.1.1 攻擊手段與影響
8.1.2 安全隱患產(chǎn)生原因
8.1.3 對(duì)策
8.2 HTTP 消息頭注入
8.2.1 攻擊手段與影響
8.2.2 安全隱患產(chǎn)生原因8.2.3 對(duì)策

Cookie相關(guān)安全隱患

9.1 Cookie安全屬性設(shè)置不完善
9.1.1 攻擊手段與影響
9.1.2 安全隱患產(chǎn)生原因9.1.3 對(duì)策

發(fā)送郵件的安全隱患

10.1 郵件頭注入漏洞
10.1.1 攻擊手段與影響 （添加收件人，篡改正文）
10.1.2 安全隱患產(chǎn)生原因
10.1.3 對(duì)策

文件處理的安全隱患

11.1 目錄遍歷漏洞
11.1.1 攻擊手段與影響
11.1.2 安全隱患產(chǎn)生原因
11.1.3 對(duì)策
11.2 內(nèi)部文件被公開
11.2.1 攻擊手段與影響
11.2.2 安全隱患產(chǎn)生原因
11.2.3 對(duì)策

其他安全隱患

12.1 其他安全隱患
12.1.1 OS命令注入漏洞
12.1.2 文件上傳使服務(wù)器執(zhí)行腳本
12.1.3 文件下載引起跨站腳本
12.1.4 文件包含攻擊
12.1.5 Eval注入
12.1.6 共享資源導(dǎo)致的問題

典型的安全功能

13.1 認(rèn)證功能
13.1.1 針對(duì)SQL注入攻擊
13.1.2 針對(duì)暴力破解的對(duì)策
13.1.3 密碼保存的方法
13.1.4 如何實(shí)現(xiàn)安全的自動(dòng)登錄
13.2 賬號(hào)管理
13.2.1 應(yīng)對(duì)自動(dòng)注冊(cè)
13.2.2 修改密碼郵箱
13.2.3 密碼找回
13.2.4 賬號(hào)刪除凍結(jié)
13.3 授權(quán)管理
13.3.1 典型的授權(quán)漏洞
13.3.2 授權(quán)管理架構(gòu)設(shè)計(jì)
13.4 日志輸出

提升Web 網(wǎng)站的安全性

14.1 防范偽裝攻擊的對(duì)策
14.1.1 針對(duì) DNS 服務(wù)器的攻擊
14.1.2 ARP 欺騙攻擊
14.1.3 釣魚攻擊
14.4.4 對(duì)策 引入 SSL
14.2 防范網(wǎng)絡(luò)監(jiān)聽，篡改的對(duì)策
14.2.1 中間人攻擊
14.2.2 對(duì)策 引入 SSL

滲透測(cè)試簡(jiǎn)介

15.1 Metasploit 使用簡(jiǎn)介
15.2 瀏覽器滲透攻擊實(shí)例 MS11-050 安全漏洞