國(guó)家注冊(cè)信息安全專(zhuān)業(yè)人員CISP-PTE滲透測(cè)試工程師認(rèn)證
國(guó)家注冊(cè)信息安全專(zhuān)業(yè)人員CISP-PTE滲透測(cè)試工程師認(rèn)證詳細(xì)內(nèi)容
國(guó)家注冊(cè)信息安全專(zhuān)業(yè)人員CISP-PTE滲透測(cè)試工程師認(rèn)證
培訓(xùn)班
培訓(xùn)服務(wù)一覽表 | ||||
培訓(xùn)地點(diǎn) | 北京 | 杭州 | 北京 | 上海 |
培訓(xùn)時(shí)間 | 4月 24-28 | 6月 26-30 | 8月 27-31 | 11月 26-30 |
培訓(xùn)方式 | · 現(xiàn)場(chǎng)面授 · 線(xiàn)上授課 · 錄播回放 | |||
專(zhuān)家授課 | ·4天錄播+ 5天集中培訓(xùn)學(xué)習(xí)：每天6課時(shí)，實(shí)戰(zhàn)專(zhuān)家授課 · 理論梳理 · 案例分享 · 實(shí)戰(zhàn)演練 | |||
紙質(zhì)資料 | 注冊(cè)信息安全專(zhuān)業(yè)人員CISP-PTE滲透測(cè)試工程師培訓(xùn)講義 | |||
考試系統(tǒng) | CISP-PTE考試練習(xí)靶場(chǎng)，學(xué)員通過(guò)率達(dá)95%以上 | |||
學(xué)習(xí)平臺(tái) | PC端：http://it.zpedu.com/ 移動(dòng)端APP：IT云課 | |||
社群服務(wù) | · 學(xué)員在線(xiàn)交流 · 專(zhuān)家在線(xiàn)答疑 · 班主任教學(xué)管理 | |||
此課程可根據(jù)具體需求定制企業(yè)內(nèi)訓(xùn)解決方案 | ||||
一、 組織形式
指導(dǎo)單位：中國(guó)信息安全測(cè)評(píng)中心
二、 課程背景
為提高各單位信息安全整體水平，加強(qiáng)信息安全人員專(zhuān)業(yè)技能，促進(jìn)信息安全人員持證上崗，現(xiàn)組織開(kāi)展注冊(cè)信息安全專(zhuān)業(yè)人員攻防領(lǐng)域（CISP-PTE）培訓(xùn)及認(rèn)證工作，此認(rèn)證是信息安全從業(yè)人員的水平證書(shū)，證明證書(shū)持有者具備從事信息安全技術(shù)領(lǐng)域網(wǎng)站滲透測(cè)試工作，具有規(guī)劃測(cè)試方案、 編寫(xiě)項(xiàng)目測(cè)試計(jì)劃、編寫(xiě)測(cè)試用例、測(cè)試報(bào)告的基本知識(shí)和能力。此證書(shū)為從事信息安全領(lǐng)域的工作人員提高專(zhuān)業(yè)資歷提供了新的機(jī)遇，為各單位信息安全提供了技術(shù)儲(chǔ)備、規(guī)范方法和專(zhuān)業(yè)人才，從根本上解決了信息安全從業(yè)人員的專(zhuān)業(yè)水平問(wèn)題，從而提高各單位信息安全的綜合實(shí)力，全面提升網(wǎng)絡(luò)安全服務(wù)保障能力和水平，請(qǐng)各單位積極組織參加。
三、 CISP-PTE介紹
注冊(cè)信息安全專(zhuān)業(yè)人員攻防領(lǐng)域（CISP-PTE）培訓(xùn)是由中國(guó)信息安全測(cè)評(píng)中心統(tǒng)一管理和規(guī)范的信息安全專(zhuān)業(yè)培訓(xùn)，是目前國(guó)內(nèi)最為主流及被業(yè)界認(rèn)可的專(zhuān)業(yè)攻防領(lǐng)域的資質(zhì)培訓(xùn)。CISP-PTE目前是國(guó)內(nèi)唯一針對(duì)網(wǎng)絡(luò)安全滲透測(cè)試專(zhuān)業(yè)人才的資格認(rèn)證，也是國(guó)家對(duì)信息安全人員資質(zhì)的最高認(rèn)可。
在整個(gè)注冊(cè)信息安全專(zhuān)業(yè)人員-滲透測(cè)試(CISP-PTE)的知識(shí)體系結(jié)構(gòu)中， 共包括 web 安全基礎(chǔ)、中間件安全基礎(chǔ)、操作系統(tǒng)安全基礎(chǔ)、數(shù)據(jù)庫(kù)安全基礎(chǔ)這四個(gè)知識(shí)類(lèi)，每個(gè)知識(shí)類(lèi)根據(jù)其邏輯劃分為多個(gè)知識(shí)體，每個(gè)知識(shí)體包含多個(gè)知識(shí)域，每個(gè)知識(shí)域由一個(gè)或多個(gè)知識(shí)子域組成。
CISP-PTE 知識(shí)體系結(jié)構(gòu)共包含四個(gè)知識(shí)類(lèi)，分別為:
1. web安全基礎(chǔ):主要包括HTTP協(xié)議、注入漏洞、XSS漏洞、SSRF漏洞、 CSRF漏洞、文件處理漏洞、訪(fǎng)問(wèn)控制漏洞、會(huì)話(huà)管理漏洞等相關(guān)的技術(shù)知識(shí)和實(shí)踐。
2. 中間件安全基礎(chǔ):主要包括Apache、IIS、Tomcat、weblogic、websphere、 Jboss 等相關(guān)的技術(shù)知識(shí)和實(shí)踐。
3. 操作系統(tǒng)安全基礎(chǔ):主要包括Windows操作系統(tǒng)、Linux操作系統(tǒng)相關(guān)技術(shù)知識(shí)和實(shí)踐。
4. 數(shù)據(jù)庫(kù)安全基礎(chǔ):主要包括Mssql數(shù)據(jù)庫(kù)、Mysql數(shù)據(jù)庫(kù)、Oracle數(shù)據(jù)庫(kù)、Redis 數(shù)據(jù)庫(kù)相關(guān)技術(shù)知識(shí)和實(shí)踐。
四、 培訓(xùn)特色
1. 理論與實(shí)踐相結(jié)合、案例分析與實(shí)驗(yàn)穿插進(jìn)行；
2. 專(zhuān)家精彩內(nèi)容解析、學(xué)員專(zhuān)題討論、分組研究；
3. 通過(guò)全面知識(shí)理解、專(zhuān)題技能掌握和安全實(shí)踐增強(qiáng)的授課方式。
五、 日程安排
課程體系嚴(yán)格遵照中國(guó)信息安全測(cè)評(píng)中心的課程大綱要求，具體培訓(xùn)課程設(shè)置如下：
四天網(wǎng)課（理論部分）+五天面授（實(shí)操部分）
CISP-PTE注冊(cè)信息安全專(zhuān)業(yè)人員-滲透測(cè)試工程師知識(shí)體系大綱 | ||||
第一部分 | ||||
知識(shí)類(lèi) | 知識(shí)體 | 知識(shí)域 | 知識(shí)子域 | 知識(shí)點(diǎn) |
第一章操作系統(tǒng)安全基礎(chǔ) | Windows | 賬戶(hù)安全 | 賬戶(hù)的基本概念 | Windows用戶(hù)賬戶(hù)和組賬戶(hù)權(quán)限的分配 |
賬戶(hù)風(fēng)險(xiǎn)與安全策略 | 了解Windows用戶(hù)空口令風(fēng)險(xiǎn) | |||
了解多用戶(hù)同時(shí)使用的安全配置 | ||||
了解對(duì)用戶(hù)登入事件進(jìn)行審核方法 | ||||
了解對(duì)遠(yuǎn)程登入賬號(hào)的檢查 | ||||
文件系統(tǒng)安全 | 文件系統(tǒng)基礎(chǔ)知識(shí) | 掌握NTFS文件權(quán)限各類(lèi) | ||
NTFS權(quán)限設(shè)置 | 掌握通過(guò)ACL控制列表，設(shè)置目錄或者文件的用戶(hù)訪(fǎng)問(wèn)權(quán)限 | |||
掌握命令行下修改目錄或者文件的訪(fǎng)問(wèn)權(quán)限的方法 | ||||
日志分析 | 系統(tǒng)日志的分類(lèi) | 了解Windows系統(tǒng)日志的種類(lèi) | ||
了解Windows安全日志的登入類(lèi)型 | ||||
日志的審計(jì)方法 | 掌握日志審計(jì)的方法 | |||
Linux | 賬戶(hù)安全 | 賬戶(hù)的基本概念 | 了解Linux系統(tǒng)中的賬號(hào)和組 | |
賬戶(hù)風(fēng)險(xiǎn)與安全策略 | 了解弱口令密碼帶來(lái)的風(fēng)險(xiǎn) | |||
掌握檢查空口令的方法 | ||||
掌握檢查系統(tǒng)中是否存在其它ID為0的用戶(hù)的方法 | ||||
文件系統(tǒng)安全 | 文件系統(tǒng)的格式 | 了解Linux文件系統(tǒng)的文件格式分類(lèi) | ||
安全訪(fǎng)問(wèn)與權(quán)限設(shè)置 | 掌握如何檢查系統(tǒng)中存在的SUID和SGID程序 | |||
掌握檢查系統(tǒng)中任何人都有寫(xiě)權(quán)限的目錄的方法 | ||||
掌握修改目錄和文件權(quán)限的方法 | ||||
掌握搜索文件內(nèi)容的方法 | ||||
日志分析 | 系統(tǒng)日志的分類(lèi) | 了解Linux系統(tǒng)的日志種類(lèi) | ||
了解Linux日志文件 | ||||
系統(tǒng)日志的審計(jì)方法 | 掌握使用常用的日志查看命令，進(jìn)行日志審計(jì)的方法 | |||
第二部分 | ||||
第二章數(shù)據(jù)庫(kù)安全基礎(chǔ) | 關(guān)系型數(shù)據(jù)庫(kù) | MSSQL | MSSQL角色與權(quán)限 | 了解MSSQL數(shù)據(jù)庫(kù)在操作系統(tǒng)中啟動(dòng)的權(quán)限 |
掌握MSSQL數(shù)據(jù)庫(kù)中服務(wù)器角色和數(shù)據(jù)庫(kù)角色 | ||||
掌握MSSQL存在SA弱口令和空口令帶來(lái)的危害 | ||||
MSSQL存儲(chǔ)過(guò)程安全 | 掌握MSSQL數(shù)據(jù)庫(kù)執(zhí)行系統(tǒng)命令或者操作系統(tǒng)文件的存儲(chǔ)過(guò)程 | |||
掌握MSSQL提升權(quán)限的方法 | ||||
MYSQL | MYSQL權(quán)限與設(shè)置 | 了解MYSQL在操作系統(tǒng)中運(yùn)行的權(quán)限 | ||
了解MYSQL賬戶(hù)的安全策略 | ||||
了解MYSQL遠(yuǎn)程訪(fǎng)問(wèn)的控制方法 | ||||
了解MYSQL數(shù)據(jù)庫(kù)所在目錄的權(quán)限控制 | ||||
MYSQL內(nèi)置函數(shù)風(fēng)險(xiǎn) | 掌握MYSQL數(shù)據(jù)庫(kù)常用函數(shù) | |||
掌握MYSQL數(shù)據(jù)庫(kù)權(quán)限提升的方法 | ||||
Oracle | ORACLE角色與權(quán)限 | 了解ORACLE數(shù)據(jù)庫(kù)的賬號(hào)管理與授權(quán) | ||
了解為不同管理員分配不同的賬號(hào)的方法 | ||||
了解設(shè)置管理public角色的程序包執(zhí)行權(quán)限 | ||||
ORACLE安全風(fēng)險(xiǎn) | 了解限制庫(kù)文件的訪(fǎng)問(wèn)權(quán)限 | |||
掌握ORACLE執(zhí)行系統(tǒng)命令的方法 | ||||
非關(guān)系型數(shù)據(jù)庫(kù) | Redis | Redis權(quán)限與設(shè)置 | 了解Redis數(shù)據(jù)庫(kù)運(yùn)行權(quán)限 | |
了解Redis數(shù)據(jù)庫(kù)的默認(rèn)端口 | ||||
Redis未授權(quán)訪(fǎng)問(wèn)風(fēng)險(xiǎn) | 掌握Redis未授權(quán)訪(fǎng)問(wèn)的危害 | |||
掌握Redis開(kāi)啟授權(quán)的方法 | ||||
第三部分 | ||||
第三章中間件安全基礎(chǔ) | 主流的中間件 | Apache | Apache服務(wù)器的安全設(shè)置 | 了解當(dāng)前Apache服務(wù)器的運(yùn)行權(quán)限 |
了解控制配置文件和日志文件的權(quán)限，防止未授權(quán)訪(fǎng)問(wèn) | ||||
了解設(shè)置日志記錄文件、記錄內(nèi)容、記錄格式 | ||||
了解禁止Apache服務(wù)器列表顯示文件的方法 | ||||
了解修改Apache服務(wù)器錯(cuò)誤頁(yè)面重定向的方法 | ||||
掌握設(shè)置WEB目錄的讀寫(xiě)權(quán)限，腳本執(zhí)行權(quán)限的方法 | ||||
Apache服務(wù)器文件名解析漏洞 | 了解Apache服務(wù)器解析漏洞的利用方式 | |||
掌握Apache服務(wù)器文件名解析漏洞的防御措施 | ||||
Apache服務(wù)器日志審計(jì)方法 | 掌握Apache服務(wù)器日志審計(jì)方法 | |||
IIS | IIS服務(wù)器的安全設(shè)置 | 了解身份驗(yàn)證功能，能夠?qū)υL(fǎng)問(wèn)用戶(hù)進(jìn)行控制 | ||
了解利用賬號(hào)控制WEB目錄的訪(fǎng)問(wèn)權(quán)限，防止跨目錄訪(fǎng)問(wèn) | ||||
了解為每個(gè)站點(diǎn)設(shè)置單獨(dú)的應(yīng)用程序池和單獨(dú)的用戶(hù)的方法 | ||||
了解取消上傳目錄的可執(zhí)行腳本的權(quán)限的方法 | ||||
啟用或禁止日志記錄，配置日志的記錄選項(xiàng) | ||||
IIS服務(wù)器常見(jiàn)漏洞 | 掌握IIS6、IIS7的文件名解析漏洞 | |||
掌握IIS6寫(xiě)權(quán)限的利用 | ||||
掌握IIS6存在的短文件名漏洞 | ||||
IIS服務(wù)器日志審計(jì)方法 | 掌握IIS日志的審計(jì)方法 | |||
Tomcat | Tomcat服務(wù)器的安全設(shè)置 | 了解Tomcat服務(wù)器啟動(dòng)的權(quán)限 | ||
了解Tomcat服務(wù)器后臺(tái)管理地址和修改管理賬號(hào)密碼的方法 | ||||
了解隱藏Tomcat版本信息的方法 | ||||
了解如何關(guān)閉不必要的接口和功能 | ||||
了解如何禁止目錄列表，防止文件名泄露 | ||||
掌握Tomcat服務(wù)器通過(guò)后臺(tái)獲取權(quán)限的方法 | ||||
掌握Tomcat樣例目錄session操縱漏洞 | ||||
Tomcat服務(wù)器的日志審計(jì)方法 | 了解Tomcat的日志種類(lèi) | |||
掌握Tomcat日志的審計(jì)方法 | ||||
JAVA開(kāi)發(fā)的中間件 | weblogic | Weblogic的安全設(shè)置 | 了解Weblogic的啟動(dòng)權(quán)限 | |
了解修改Weblogic的默認(rèn)開(kāi)放端口的方法 | ||||
了解禁止Weblogic列表顯示文件的方法 | ||||
Weblogic的漏洞利用與防范 | 掌握Weblogic后臺(tái)獲取權(quán)限的方法 | |||
掌握Weblogic存在的SSRF漏洞 | ||||
掌握反序列化漏洞對(duì)Weblogic的影響 | ||||
Weblogic的日志審計(jì)方法 | 掌握Weblogic日志的審計(jì)方法 | |||
websphere | Websphere的安全設(shè)置 | 了解Websphere管理的使用 | ||
了解Websphere的安全配置 | ||||
Websphere的漏洞利用與防范 | 掌握反序列化漏洞對(duì)Websphere的影響 | |||
掌握Websphere后臺(tái)獲取權(quán)限的方法 | ||||
Websphere的日志審計(jì)方法 | 掌握Websphere的日志審計(jì) | |||
Jboss | Jboss的安全設(shè)置 | 了解設(shè)置jmx-console/web-console密碼的方法 | ||
了解開(kāi)啟日志功能的方法 | ||||
了解設(shè)置通訊協(xié)議，開(kāi)啟HTTPS訪(fǎng)問(wèn) | ||||
了解修改WEB的訪(fǎng)問(wèn)端口 | ||||
Jboss的漏洞利用與防范 | 掌握反序列化漏洞對(duì)Jboss的影響 | |||
JMXInvokerServlet/jmx-console/web-console漏洞利用與防范 | ||||
Jboss的日志審計(jì)方法 | 掌握Jboss日志審計(jì)的方法 | |||
第四部分 | ||||
第四章web安全基礎(chǔ) | HTTP協(xié)議 | HTTP請(qǐng)求方法 | HTTP1.0的請(qǐng)求方法 | 掌握HTTP1.0三種請(qǐng)求方法：GET/POST/HEAD |
掌握GET請(qǐng)求的標(biāo)準(zhǔn)格式 | ||||
掌握POST請(qǐng)求提交表彰，上傳文件的方法 | ||||
了解HEAD請(qǐng)求與GET請(qǐng)求的區(qū)別 | ||||
HTTP1.1新增的請(qǐng)求方法 | 了解HTTP1.1新增了五種請(qǐng)求方法：OPTIONS/PUT/DELETE/TRACE和CONNECT方法的基本概念 | |||
掌握HTTP1.1新增的五種請(qǐng)求的基本方法和產(chǎn)生的請(qǐng)求結(jié)果 | ||||
HTTP狀態(tài)碼 | HTTP狀態(tài)碼的分類(lèi) | 了解HTTP狀態(tài)碼的規(guī)范 | ||
了解HTTP狀態(tài)碼的作用 | ||||
掌握常見(jiàn)的HTTP狀態(tài)碼 | ||||
HTTP狀態(tài)碼的含義 | 了解HTTP狀態(tài)碼2**、3**、4**、5**代表的含義 | |||
掌握用計(jì)算機(jī)語(yǔ)言獲取HTTP狀態(tài)碼的方法 | ||||
HTTP協(xié)議響應(yīng)頭信息 | HTTP響應(yīng)頭的類(lèi)型 | 了解常見(jiàn)的HTTP響應(yīng)頭 | ||
掌握HTTP響應(yīng)頭的作用 | ||||
HTTP響應(yīng)頭的含義 | 了解HTTP響應(yīng)頭的名稱(chēng) | |||
掌握HTTP響應(yīng)頭的格式 | ||||
HTTP協(xié)議的URL | URL的定義 | 了解URL的基本概念 | ||
URL的格式 | 了解URL的結(jié)構(gòu) | |||
掌握URL編碼格式 | ||||
注入漏洞 | SQL注入 | SQL注入概念 | 了解SQL注入漏洞原理 | |
了解SQL注入漏洞對(duì)于數(shù)據(jù)安全的影響 | ||||
掌握SQL注入漏洞的方法 | ||||
SQL注入漏洞類(lèi)型 | 了解常見(jiàn)數(shù)據(jù)庫(kù)的SQL查詢(xún)語(yǔ)法 | |||
掌握MSSQL\MYSQL\ORACLE數(shù)據(jù)庫(kù)的注入方法 | ||||
掌握SQL注入漏洞的類(lèi)型 | ||||
SQL注入漏洞安全防護(hù) | 掌握SQL注入漏洞修復(fù)和防范方法 | |||
掌握一些SQL注入漏洞檢測(cè)工具的使用方法 | ||||
XML注入 | XML注入概念 | 了解什么是XML注入漏洞 | ||
了解XML注入漏洞產(chǎn)生的原因 | ||||
XML注入漏洞檢測(cè)與防護(hù) | 掌握XML注入漏洞的利用方式 | |||
掌握如何修復(fù)XML注入漏洞 | ||||
代碼注入 | 遠(yuǎn)程文件包含漏洞（RFI） | 了解什么是遠(yuǎn)程文件包含漏洞 | ||
了解遠(yuǎn)程文件包含漏洞所用到的函數(shù) | ||||
掌握遠(yuǎn)程文件包含漏洞的利用方式 | ||||
掌握遠(yuǎn)程文件包含漏洞代碼審計(jì)方法 | ||||
掌握修復(fù)遠(yuǎn)程文件包含漏洞的方法 | ||||
本地文件包含漏洞（LFI） | 了解什么是本地文件包含漏洞 | |||
了解本地文件包含漏洞產(chǎn)生的原因 | ||||
掌握本地文件包含漏洞利用的方式 | ||||
了解PHP語(yǔ)言中的封裝協(xié)議 | ||||
掌握本地文件包含漏洞修復(fù)方法 | ||||
命令執(zhí)行漏洞（CI） | 了解什么是命令注入漏洞 | |||
了解命令注入漏洞對(duì)系統(tǒng)安全產(chǎn)生的危害 | ||||
掌握腳本語(yǔ)言中可以執(zhí)行系統(tǒng)命令的函數(shù) | ||||
了解第三方組件存在的代碼執(zhí)行漏洞，如struts2 | ||||
掌握命令注入漏洞的修復(fù)方法 | ||||
XSS漏洞 | 存儲(chǔ)式XSS | 存儲(chǔ)式XSS的概念 | 了解什么是存儲(chǔ)式XSS漏洞 | |
了解存儲(chǔ)式XSS漏洞對(duì)安全的影響 | ||||
存儲(chǔ)式XSS的檢測(cè) | 了解存儲(chǔ)式XSS漏洞的特征和檢測(cè)方法 | |||
掌握存儲(chǔ)式XSS漏洞的危害 | ||||
存儲(chǔ)式XSS的安全防護(hù) | 掌握修復(fù)存儲(chǔ)式XSS漏洞的方式 | |||
了解常用WEB漏洞掃描工具對(duì)存儲(chǔ)式XSS漏洞掃描方法 | ||||
反射式XSS | 反射式XSS的概念 | 了解什么是反射式XSS漏洞 | ||
了解反射式XSS漏洞與存儲(chǔ)式XSS漏洞的區(qū)別 | ||||
反射式XSS的利用與修復(fù) | 了解反射式XSS漏洞的觸發(fā)形式 | |||
了解反射式XSS漏洞利用的方式 | ||||
掌握反射式XSS漏洞檢測(cè)與修復(fù)方法 | ||||
DOM式XSS | DOM式XSS的特征 | 了解什么是DOM式XSS漏洞 | ||
掌握DOM式XSS漏洞的觸發(fā)形式 | ||||
DOM式XSS的防御 | 掌握DOM式XSS漏洞的檢測(cè)方法 | |||
掌握DOM式XSS漏洞的修復(fù)方法 | ||||
請(qǐng)求偽造漏洞 | SSRF漏洞 | 服務(wù)端請(qǐng)求偽造漏洞概念 | 了解什么是SSRF漏洞 | |
了解利用SSRF漏洞進(jìn)行端口探測(cè)的方法 | ||||
服務(wù)端請(qǐng)求漏洞的檢測(cè)與防護(hù) | 掌握SSRF漏洞的檢測(cè)方法 | |||
了解SSRF漏洞的修復(fù)方法 | ||||
CSRF漏洞 | 跨站請(qǐng)求偽造漏洞概念 | 了解CSRF漏洞產(chǎn)生的原因 | ||
理解CSRF漏洞的原理 | ||||
跨站請(qǐng)求漏洞的危害與防御 | 了解CSRF漏洞與XSS漏洞的區(qū)別 | |||
掌握CSRF漏洞的挖掘和修復(fù)方法 | ||||
文件處理漏洞 | 任意文件上傳 | 上傳漏洞的原理與分析 | 了解任意文件上傳漏洞產(chǎn)生的原因 | |
了解服務(wù)端語(yǔ)言對(duì)上傳文件類(lèi)型限制方法 | ||||
上傳漏洞的檢測(cè)與防范 | 了解任意文件上傳漏洞的危害 | |||
掌握上傳漏洞的檢測(cè)思路和修復(fù)方法 | ||||
任意文件下載 | 文件下載漏洞的原理與分析 | 了解什么是文件下載漏洞 | ||
掌握通過(guò)文件下載漏洞讀取服務(wù)端文件的方法 | ||||
文件下載漏洞的檢測(cè)與防范 | 掌握能夠通過(guò)代碼審計(jì)和測(cè)試找到文件下載漏洞 | |||
掌握修復(fù)文件下載漏洞的方法 | ||||
訪(fǎng)問(wèn)控制漏洞 | 橫向越權(quán) | 橫向越權(quán)漏洞的概念 | 了解橫向越權(quán)漏洞的基本概念 | |
了解橫向越權(quán)漏洞的形式 | ||||
橫向越權(quán)漏洞的檢測(cè)與防范 | 了解橫向越權(quán)漏洞對(duì)網(wǎng)站安全的影響 | |||
掌握橫向越權(quán)漏洞的測(cè)試和修復(fù)方法 | ||||
垂直越權(quán) | 垂直越權(quán)漏洞的概念 | 了解垂直越權(quán)漏洞的基本概念 | ||
了解垂直越權(quán)漏洞的種類(lèi)和形式 | ||||
垂直越權(quán)漏洞的檢測(cè)與防范 | 了解對(duì)網(wǎng)站安全的影響 | |||
掌握越權(quán)漏洞的測(cè)試方法和修復(fù) | ||||
會(huì)話(huà)管理漏洞 | 會(huì)話(huà)劫持 | 會(huì)話(huà)劫持漏洞的概念與原理 | 了解什么是會(huì)話(huà)劫持漏洞 | |
了解會(huì)話(huà)劫持漏洞的危害 | ||||
會(huì)話(huà)劫持漏洞基本防御方法 | 了解Session機(jī)制 | |||
了解httponly的設(shè)置方法 | ||||
掌握會(huì)話(huà)劫持漏洞防御方法 | ||||
會(huì)話(huà)固定 | 會(huì)話(huà)固定漏洞的概念與原理 | 了解什么是會(huì)話(huà)固定漏洞 | ||
了解會(huì)話(huà)固定漏洞的檢測(cè)方法 | ||||
會(huì)話(huà)固定漏洞基本防御方法 | 了解會(huì)話(huà)固定漏洞的形成的原因 | |||
了解會(huì)話(huà)固定漏洞的風(fēng)險(xiǎn) | ||||
掌握會(huì)話(huà)固定漏洞的防范方法 | ||||
第6天 考試 | ||||
六、 授課專(zhuān)家
劉老師 曾任阿里巴巴高級(jí)工程師，超過(guò)15年IT運(yùn)維與IT培訓(xùn)從業(yè)經(jīng)驗(yàn)，主要從事企業(yè)網(wǎng)絡(luò)服務(wù)的運(yùn)維、大數(shù)據(jù)和云平臺(tái)的運(yùn)維、企業(yè)網(wǎng)絡(luò)服務(wù)需求分析和網(wǎng)絡(luò)構(gòu)建、網(wǎng)絡(luò)割接等項(xiàng)目;通過(guò)和企業(yè)對(duì)接進(jìn)行IT運(yùn)維的培訓(xùn)，培養(yǎng)IT運(yùn)維、IT安全運(yùn)維學(xué)員超過(guò)3000名;具備豐富的企業(yè)運(yùn)維和網(wǎng)絡(luò)構(gòu)建等項(xiàng)目經(jīng)驗(yàn)，尤其在金融、運(yùn)營(yíng)商、政府等行業(yè)有豐富的項(xiàng)目實(shí)施經(jīng)驗(yàn)。目前主要專(zhuān)業(yè)領(lǐng)域集中于Linux&Cisco企業(yè)服務(wù)、IT服務(wù)管理、信息安全等方面，曾服務(wù)的主要客戶(hù)有：阿里巴巴、北京市豐臺(tái)區(qū)人民政府、北京XXX金融有限公司、北京吉利大學(xué)、北京XXXXIT培訓(xùn)中心、中興集團(tuán)大數(shù)據(jù)中心等。長(zhǎng)期從事Linux&Cisco、信息安全(CISP/CISSP/Secrity+,cisp-pte等培訓(xùn)工作。
高老師 曾任北京丁?？萍加邢薰景踩?，滲透測(cè)試組組長(zhǎng)，中國(guó)金融認(rèn)證中心信息安全工程師，銀聯(lián)系統(tǒng)CTF線(xiàn)下賽-三等獎(jiǎng)，主要項(xiàng)目經(jīng)歷包括Web滲透、APP安全測(cè)試(android)、微信小程序、API接口、CTF、逆向、后滲透及持久化方面，知識(shí)面比較廣。
徐老師 十年信息安全工作經(jīng)驗(yàn)，熱愛(ài)研究網(wǎng)絡(luò)安全技術(shù)。主攻Web、滲透測(cè)試、安全研究、漏洞挖掘、代碼審計(jì)擅長(zhǎng) web方向，熱愛(ài)ctf和awd。在web方向的php代碼審計(jì)尤為擅長(zhǎng)，曾參與審計(jì)某司自研項(xiàng)目并審計(jì)到高危漏洞。有豐富的政府，內(nèi)網(wǎng) 外網(wǎng)項(xiàng)目滲透經(jīng)驗(yàn)。多次在 ctf比賽中獲取名次，并擔(dān)任出題者和裁判。曾任職國(guó)內(nèi)某top10安全公司奇安信及多個(gè)公司的特聘安全培訓(xùn)講師。
七、 考試及取證
考試由中國(guó)信息安全測(cè)評(píng)中心組織實(shí)施，考試合格后可獲得由中國(guó)信息安全測(cè)評(píng)中心頒發(fā)的“注冊(cè)信息安全人員-滲透測(cè)試工程師”(CISP-PTE)證書(shū)。
培訓(xùn)考試：見(jiàn)中國(guó)信息安全測(cè)評(píng)中心考試計(jì)劃安排
考試說(shuō)明：由中國(guó)信息安全測(cè)評(píng)中心出試卷
考試要求： CISP-PTE 考試題型為客觀題、實(shí)操題。客觀題為單項(xiàng)選擇題，共 20 題，每題 1 分，實(shí)操題共 80 分?？偡止?100 分，得到 70 分以上(含 70 分)為通過(guò)。
注：考試不通過(guò)的學(xué)員可免費(fèi)參加一次補(bǔ)考。
CISP-PTE試題結(jié)構(gòu)
知識(shí)類(lèi)別 | 占比 | 題型 |
web安全基礎(chǔ) | 40% | 實(shí)操 |
中間件基礎(chǔ) | 20% | 客觀+實(shí)操 |
操作系統(tǒng)安全基礎(chǔ) | 20% | 客觀+實(shí)操 |
數(shù)據(jù)庫(kù)安全基礎(chǔ) | 20% | 客觀+實(shí)操 |
CISP-PTE考試形式
安全加固與防御 | 單項(xiàng)選擇 | 240分鐘 |
Web安全基礎(chǔ) | 實(shí)操 | |
日志與數(shù)據(jù)分析 | 實(shí)操 | |
滲透測(cè)試基礎(chǔ) | 實(shí)操 |
八、 培訓(xùn)費(fèi)用
全國(guó)統(tǒng)一收費(fèi)標(biāo)準(zhǔn)：19800元/人，（含培訓(xùn)費(fèi)、考試費(fèi)、注冊(cè)費(fèi)、注冊(cè)年金等），食宿可統(tǒng)一安排，費(fèi)用自理。
其中：
培訓(xùn)費(fèi)：14800元/人，(包含：教材、培訓(xùn)費(fèi)等)
注冊(cè)費(fèi)：5000元/人，(包含：認(rèn)證費(fèi)、三年年金)。
需提前提交的材料：
1.個(gè)人近期免冠2寸藍(lán)底彩色照片2張（后面標(biāo)注姓名，不粘貼）
2.身份證（正反面）復(fù)印件1份
3.學(xué)歷、學(xué)位證明復(fù)印件1份
4.考試注冊(cè)申請(qǐng)表紙質(zhì)蓋章版1份。
推薦課程
如何創(chuàng)造性解決問(wèn)題 2024-11-11
如何創(chuàng)造性解決問(wèn)題(2天)【時(shí)間/地點(diǎn)】2024年01月04日 - 2024年01月05日 北京2024年01月11日 - 2024年01月12日 上海 2024年02月04日 - 2024年02月05日 北京 2024年02月18日 - 2024年02月19日 上海 2024年03月11日 - 2024年03月12日 北京 2024年03月18日 - 20...
講師：張老師Richard 張老師 Robert詳情
高效實(shí)用的采購(gòu)技巧 2024-11-11
高效實(shí)用的采購(gòu)技巧（2天）【時(shí)間/地點(diǎn)】2024年01月02日 - 2024年01月03日 北京2024年01月04日 - 2024年01月05日 上海 2024年02月22日 - 2024年02月23日 北京2024年02月26日 - 2024年02月27日 上海 2024年03月21日 - 2024年03月22日 北京 2024年03月28日 - 202...
講師：王老師 Rice 王老師（Peter）詳情
培訓(xùn)時(shí)間/地點(diǎn)：2024年1月1719日（星期三星期五）/蘇 州2024年3月2527日（星期一星期三）/上 海2024年5月2224日（星期三星期五）/嘉 興2024年6月2426日（星期一星期三）/蘇 州2024年7月2426日（星期三星期五）/上 海2024年9月2527日（星期三星期五）/蘇 州2024年11月1113日（星期一星期三）/合 肥202...
講師：陳老師詳情
IATF 16949 汽車(chē)行業(yè)質(zhì)量管理體系標(biāo)準(zhǔn)理解、實(shí)施及內(nèi)審員培訓(xùn)培訓(xùn)時(shí)間/地點(diǎn)：2024年3月2527日（星期一星期三）/上 海2024年5月2224日（星期三 星期五）/嘉 興2024年7月2426日（星期三星期五）/上 海2024年11月1113日（星期一 星期三）/合 肥2024年12月911日（星期一星期三）/上 海收費(fèi)標(biāo)準(zhǔn)：￥3000/人含...
講師：曹老師詳情
新舊QC七大工具（十四個(gè)質(zhì)量工具） 2024-11-11
新舊QC七大工具（十四個(gè)質(zhì)量工具）培訓(xùn)時(shí)間/地點(diǎn)：2024年4月1718日（星期三 星期四）/上 海2024年11月1112日（星期一 星期二）/蘇州收費(fèi)標(biāo)準(zhǔn)：￥4000/人含授課費(fèi)、證書(shū)費(fèi)、資料費(fèi)、午餐費(fèi)、茶點(diǎn)費(fèi)、會(huì)務(wù)費(fèi)、稅費(fèi)不包含學(xué)員往返培訓(xùn)場(chǎng)地的交通費(fèi)用、住宿費(fèi)用，早餐及晚餐課程目的：讓學(xué)員對(duì)日常工作中常用的過(guò)程數(shù)據(jù)收集、分類(lèi)、統(tǒng)計(jì)、分析和應(yīng)用方法的概...
講師：劉老師詳情
裝備業(yè)的倉(cāng)儲(chǔ)規(guī)劃與物流配送管理 2024-11-11
裝備業(yè)的倉(cāng)儲(chǔ)規(guī)劃與物流配送管理培訓(xùn)時(shí)間/地點(diǎn)：2024年11月1112日（星期一 星期二）/無(wú) 錫收費(fèi)標(biāo)準(zhǔn)：￥4800/人?含授課費(fèi)、證書(shū)費(fèi)、資料費(fèi)、午餐費(fèi)、茶點(diǎn)費(fèi)、會(huì)務(wù)費(fèi)、稅費(fèi)?不包含學(xué)員往返培訓(xùn)場(chǎng)地的交通費(fèi)用、住宿費(fèi)用、早餐及晚餐課程背景：裝備業(yè)因其復(fù)雜性而難以管理，尤其是客戶(hù)定制化程度高的公司更是如此。這種復(fù)雜性在供應(yīng)鏈兩端中的具體表現(xiàn)為：需求和研發(fā)...
講師：陳老師詳情
統(tǒng)計(jì)過(guò)程控制（SPC） 2024-11-11
統(tǒng)計(jì)過(guò)程控制（SPC）培訓(xùn)時(shí)間/地點(diǎn)：2024年3月2829日（星期四 星期五）/上 海2024年7月45日（星期四 星期五）/蘇 州2024年11月1112日（星期一 星期二）/上 海收費(fèi)標(biāo)準(zhǔn)：￥3500/人含授課費(fèi)、證書(shū)費(fèi)、資料費(fèi)、午餐費(fèi)、茶點(diǎn)費(fèi)、會(huì)務(wù)費(fèi)、稅費(fèi)不包含學(xué)員往返培訓(xùn)場(chǎng)地的交通費(fèi)用、住宿費(fèi)用、早餐及晚餐課程背景：SPC是由美國(guó)休哈特博士于...
講師：劉老師詳情
高效物流管理（2天） 2024-11-11
高效物流管理（2天）【時(shí)間/地點(diǎn)】 2024年01月13日 - 2024年01月14日 北京 2024年01月15日 - 2024年01月16日 上海 2024年02月17日 - 2024年02月18日 北京 2024年02月19日 - 2024年02月20日 上海 2024年03月09日 - 2024年03月10日 北京 2024年03月11日 - 202...
講師：?jiǎn)滔壬↖van） 王老師（Peter）王老師 Rice詳情
HRBP人力資源業(yè)務(wù)合作伙伴 2024-11-11
HRBP人力資源業(yè)務(wù)合作伙伴（2天）時(shí)間/地點(diǎn)2024年01月08日 - 2024年01月09日 北京 2024年02月06日 - 2024年02月07日 北京2024年03月11日 - 2024年03月12日 北京 2024年04月11日 - 2024年04月12日 北京 2024年05月13日 - 2024年05月14日 北京 2024年06月11日 -...
講師：張老師 Robert詳情
高級(jí)商務(wù)演講技巧 2024-11-11
高級(jí)商務(wù)演講技巧（2天）【時(shí)間/地點(diǎn)】5月20-21日北京5月29-30北京22-23上海5月27-28日上海6月29-30北京15-16上海7月8月9月10月11月12月25-26北京15-16上海26-27北京19-20上海26-27北京19-20上海14-15北京17-18上海11-12北京14-15上海26-27北京30-31上?！九嘤?xùn)費(fèi)用】 398...
講師：張老師Richard 張老師 Robert詳情
- [潘文富] 優(yōu)化考核方式，減少員工抵
- [潘文富] 廠家心目中的理想化經(jīng)銷(xiāo)商
- [潘文富] 經(jīng)銷(xiāo)商的產(chǎn)品驅(qū)動(dòng)與管理驅(qū)
- [潘文富] 消費(fèi)行為的背后
- [潘文富] 00后員工的試用期工資怎
- [王曉楠] 輔警轉(zhuǎn)正方式，定向招錄成為
- [王曉楠] 西安老師招聘要求，西安各區(qū)
- [王曉楠] 西安中小學(xué)教師薪資福利待遇
- [王曉楠] 什么是備案制教師？備案制教
- [王曉楠] 2024年陜西省及西安市最
