【课程费用】
课程费用：5800元/人。


【讲师介绍】
<a href="https://www.huodongjia.com/guest-077084065049077068099119.html"><img alt="张银奎培训公开课：网络安全与穿透测试训练营（2017年4月，深圳站）" src="http://mrm.msup.com.cn/files/2015/05/06/6og9Ju50pK4f.png" style="height:222px; width:200px"/></a>

<a href="https://www.huodongjia.com/guest-077084065049077068099119.html">张银奎</a>

Intel

前英特尔软件架构师，系统调试专家

微软全球最有价值技术专家（MVP），同济大学电子与信息工程学院特邀讲师。 《软件调试》、《格蠹汇编》的作者，新版《十万个为什么》电子分册撰稿人之一，《程序员》杂志调试之剑栏目作者 。 
1996年毕业于上海交通大学信息与控制工程系，在软件产业工作20年，在多家跨国公司历任开发工程师、软件架构师、开发经理、项目经理等职务，对 IA-32 架构、操作系统内核、驱动程序、虚拟化技术、云计算、软件调优、尤其是软件调试有较深入研究。 
从2005年开始公开讲授“Windows内核及高级调试”课程，曾在微软的Webcast和各种技术会议上做过《Windows Vista内核演进》、《调试之剑》（全球软件案例研究峰会）、《感受和思考调试器的威力》（CSDN SD2.0大会）、《Windows启动过程》、《如何诊断和调试蓝屏错误》、《Windows体系结构——从操作系统的角度》等。 
讲师认为软件瑕疵是个永恒的难题，因此在这方面投入了很多时间，探索出了一套以调试器为核心的方法。与瑕疵和调试相关的另一个永恒难题就是软件的安全性。安全漏洞，可以说是一种特别的瑕疵。发现和研究安全漏洞离不开调试方法。因此花费大量时间研究软件安全和渗透测试。 
翻译（合译）作品有《观止——微软创建NT和未来的夺命狂奔》、《数据挖掘原理》、《机器学习》、《人工智能：复杂问题求解的结构和策略》等。


【课程大纲】
<table border="1" cellspacing="0">
	<tbody>
		<tr>
			<td>
			主题
			</td>
			<td>
			内容
			</td>
		</tr>
		<tr>
			<td>
			
			</td>
			<td>
			第一部分：Web应用安全基础 （1.5小时） 
			要点：70%的网络攻击是通过网络应用，防火墙对Web应用攻击爱莫能助，<a href="/tag/4336/">网络安全</a>与应用安全比较，Open Web Application Security Project（OWASP），OQASP的十大Web应用漏洞列表，最危险的25个软件错误，输入验证，黑名单验证，白名单验证，缩写攻击面，DataTable v.s. DataSet（.Net实例），threat classification，STRIDE，IIMF，Common Weakness Enumeration (CWE) 
			 
			第二部分：用户认证（1.5小时） 
			要点：HTTP基础（请求、HTTP头、HTTP方法、HTTP应答、状态码），HTTP验证，基本的HTTP访问验证，使用哈希算法的访问验证，Windows认证，Man-in-the-Middle攻击，Single sign-on (SSO)，自定义的认证系统，基于密码的认证，密码攻击，关于密码保护的最佳实践 
			 
			第三部分：穿透测试基础（1小时） 
			要点：Pentest，背景，测试过程，重要资源，Kali Linux, 安装，十大工具，Metasploitable 2，下载和安装，实例演示
			</td>
		</tr>
		<tr>
			<td>
			
			</td>
			<td>
			第四部分：授权（1.5小时） 
			要点：会话管理，授权基础，目标，授权过程，访问控制模型：Discretionary Access Control (DAC)、Mandatory Access Control (MAC)、Role-Based Access Control (RBAC)、混合方案，许可类型，分层模型，客户端攻击，Time of check to time of use（TOCTOU），Cross-Site Request Forgery (CSRF)， Session ID，会话状态，Cookie，cookie poisoning（窜改），SSL和HTTPS，Session Hijacking，最佳实践：强制会话超时，控制会话并发，安全使用cookie，HttpOnly 
			 
			第五部分：浏览器安全原则 （1.5小时） 
			要点：同源原则，例外，cross-origin resource sharing (CORS)，XDomainRequest；cross-site scripting (or XSS)，XSS攻击，Reflected XSS （Type-1 XSS），Stored XSS（Type-2 XSS）, DOM-based XSS (Type-0 XSS)，HTML Injection，防卫方法：输出编码，净化输入，HttpOnly；Cross-Site Request Forgery (CSRF)，案例：2011年3月发现的Android Market漏洞，HTTP GET，防卫CSRF攻击 
			 
			第六部分：数据库安全原则 （1.5小时） 
			要点：SQL Injection，原理，演示，真实案例：2011年LulzSec组织对Sony Music网站的SQL Injection攻击，防卫方法；设置数据库许可，存储过程，特权控制，ad-hoc SQL，直接对象引用
			</td>
		</tr>
		<tr>
			<td>
			
			</td>
			<td>
			第七部分：文件安全原则（1小时） 
			要点：静态内容和动态内容，文件备份，forceful browsing，目录枚举，不安全的直接对象引用，扩展名猜测 
			 
			第八部分：安全开发（1.5小时） 
			要点：未雨绸缪，SDL，安全编程，托管代码的安全优势，.Net框架中的安全设施，安全的库，安全测试，OWASP Comprehensive Lightweight Application Security Process (CLASP)，Security = Hardware + Software + Process
			</td>
		</tr>
	</tbody>
</table>


【课程介绍】
课程详细课程信息时间长度：2天 (每天7小时） 围绕Web应用的安全性这一主题，本培训重点覆盖以下三方面的内容：（一）分门别类讲解常见安全漏洞的攻防原理，包括SQL注入、Cross-Site Scripting（XSS）、CSRF、溢出等；（二）以<a href="/tag/28400/">穿透测试</a>为核心的安全测试方法和工具，包括Kali Linux环境和Metasploitable 2；（三）提高Web系统安全性的最佳实践，主要针对开发过程，穿插部分服务器和数据库配置与管理的经验分享。

主办方

课程费用

manbext客户端下载提供张银奎培训公开课：网络安全与穿透测试训练营（2017年4月，深圳站）官网最新门票优惠。张银奎培训公开课：网络安全与穿透测试训练营（2017年4月，深圳站）将于2017年04月22日在深圳召开。一键查询张银奎培训公开课：网络安全与穿透测试训练营（2017年4月，深圳站）会议通知及邀请函下载，包含开会时间地点、嘉宾演讲主题、日程、价格等会议信息，报名参加张银奎培训公开课：网络安全与穿透测试训练营（2017年4月，深圳站），轻松快捷。