課程介紹：
近年來，互聯(lián)網(wǎng)公司的用戶隱私和業(yè)務(wù)財產(chǎn)安全問題越來越多地暴露在公眾視野之中，因此，Web 安全及其相關(guān)技術(shù)也受到了更多的關(guān)注。
由于 Web 安全覆蓋的知識面較廣，涉及前后端、數(shù)據(jù)庫、網(wǎng)絡(luò)協(xié)議以及相關(guān)的滲透工具等等，所以，對于很多新手來說，如果想要在短時間內(nèi)系統(tǒng)性地學(xué)習(xí) Web 安全，并對各種常見漏洞有更深入的了解，并不是一件容易的事情。
在這門課程中，我們設(shè)計了三個主要板塊，分別是 Web 前端基礎(chǔ)技術(shù)、Web 安全常見漏洞攻防演練以及互聯(lián)網(wǎng)公司安全運(yùn)營。由淺入深地帶你掌握 Web 領(lǐng)域的核心攻防技術(shù)、安全維護(hù)技術(shù)和安全運(yùn)維技術(shù)，讓你有足夠的能力去安全地運(yùn)維一個以 Web 服務(wù)為核心的業(yè)務(wù)線。
另外，在課程中，我們也提供統(tǒng)一的 Docker 鏡像文件，簡單幾步就能搭建好滲透測試平臺，免去你自己搭環(huán)境做實(shí)驗(yàn)的繁瑣步驟，快速上手安全攻防。
課程目錄
第一章：Web安全基礎(chǔ) (10講)
01 | 課程介紹
02 | 內(nèi)容綜述
03 | Web安全前端基礎(chǔ)：HTML
04 | Web安全前端基礎(chǔ)：CSS、JavaScript
05 | 探究網(wǎng)站的運(yùn)作原理：用Python寫一個簡單的Web App
06 | Web框架的運(yùn)作原理：用Django快速搭建一個網(wǎng)站
07 | HTTP協(xié)議是怎么工作的？
08 | 常見的Web安全漏洞都有哪些？
09 | Web滲透工具入門：Burp Suite、cURL、Postman
10 | Web滲透插件入門：Wappalyzer、HackBar
第二章：Web安全之后端安全 (46講)
11 | 文件上傳漏洞：漏洞原理&一句話木馬
12 | 文件上傳漏洞初階：后綴名繞過&原理探究
13 | 文件上傳漏洞中階：前端驗(yàn)證繞過、.htaccess繞過、大小寫繞過
14 | 文件上傳漏洞高階：文件流繞過、字符串截斷繞過、文件頭檢測繞過
15 | 文件上傳漏洞：初探源碼審計
16 | 文件上傳漏洞：初探Fuzz
17 | Web安全后端基礎(chǔ)：數(shù)據(jù)庫的基本概念
18 | Web安全后端基礎(chǔ)：極簡MySQL入門
19 | SQL注入漏洞的原理及其危害
20 | 從協(xié)議視角看注入：GET型注入攻擊及防御
21 | 從協(xié)議視角看注入：POST型注入攻擊及防御
22 | SQL注入實(shí)戰(zhàn)：判斷SQL注入點(diǎn)&防御方式
23 | 宏觀視角看注入：5種不同的SQL注入類型
24 | SQL注入實(shí)戰(zhàn)：利用時間盲注繞過無報錯無回顯場景
25 | SQL注入實(shí)戰(zhàn)：隱蔽的HTTP頭盲注
26 | SQL注入實(shí)戰(zhàn)：利用數(shù)據(jù)庫的bug進(jìn)行報錯注入
27 | SQL注入實(shí)戰(zhàn)：實(shí)施報錯注入攻擊
28 | SQL注入實(shí)戰(zhàn)：威力巨大的堆疊注入
29 | SQL注入實(shí)戰(zhàn)：游離在常規(guī)分類外的OOB注入
30 | SQL注入實(shí)戰(zhàn)：淺談OOB注入原理
31 | SQL注入實(shí)戰(zhàn)：OOB注入之環(huán)境準(zhǔn)備
32 | SQL注入實(shí)戰(zhàn)：OOB注入關(guān)鍵函數(shù)解析之load_file
33 | SQL注入實(shí)戰(zhàn)：實(shí)施OOB注入攻擊
34 | SQL注入實(shí)戰(zhàn)：如何繞過WAF之混淆注入原理
35 | SQL注入實(shí)戰(zhàn)：如何繞過WAF之union、where、limit過濾繞過
36 | SQL注入實(shí)戰(zhàn)：如何繞過WAF之group by、select、單引號、hex、unhex、substr繞過
37 | SQL注入實(shí)戰(zhàn)：如何繞過WAF之空格、等號、雙寫、雙重編碼繞過
38 | SQL注入實(shí)戰(zhàn)：如何繞過WAF之?dāng)?shù)據(jù)庫底層編碼注入攻擊
39 | SQL注入實(shí)戰(zhàn)：如何繞過WAF之二次注入攻擊
40 | SQL注入實(shí)戰(zhàn)：激動人心的命令執(zhí)行
41 | SQL注入實(shí)戰(zhàn)：webshell類型命令執(zhí)行與交互
42 | SQL注入實(shí)戰(zhàn)：UDF類型命令執(zhí)行與交互
43 | SQL注入實(shí)戰(zhàn)：玩轉(zhuǎn)Linux權(quán)限管理之用戶和組
44 | SQL注入實(shí)戰(zhàn)：玩轉(zhuǎn)Linux權(quán)限管理之文件權(quán)限
45 | SQL注入實(shí)戰(zhàn)：自動化注入攻擊之了解sqlmap
46 | SQL注入實(shí)戰(zhàn)：玩轉(zhuǎn)sqlmap之?dāng)y帶cookie
47 | SQL注入實(shí)戰(zhàn)：玩轉(zhuǎn)sqlmap之通過level設(shè)定檢測深度
48 | SQL注入實(shí)戰(zhàn)：玩轉(zhuǎn) sqlmap之讀寫server文件
49 | SQL注入實(shí)戰(zhàn)：玩轉(zhuǎn)sqlmap之實(shí)戰(zhàn)脫庫
50 | SQL注入實(shí)戰(zhàn)：自動化注入攻擊之FuzzDB+Burp組合拳
51 | SQL注入實(shí)戰(zhàn)：欣賞優(yōu)秀的Web后門之核心功能
52 | SQL注入實(shí)戰(zhàn)：欣賞優(yōu)秀的Web后門之免殺
53 | SQL注入實(shí)戰(zhàn)：面向NoSQL數(shù)據(jù)庫的注入攻擊
54 | SQL注入實(shí)戰(zhàn)：淺談SQL注入防御方式及原理之預(yù)編譯
55 | SQL注入實(shí)戰(zhàn)：淺談SQL注入防御方式及原理之過濾
56 | 加密算法與隨機(jī)數(shù)
第三章：Web安全之框架安全和前端安全 (22講)
57 | Spring框架安全攻擊和防御 – 什么是框架級漏洞
58 | Spring框架安全攻擊和防御 – CVE-2017-8046利用
59 | Spring框架安全攻擊和防御 – CVE-2017-8046分析
60 | 反射型XSS漏洞原理、案例及防御措施
61 | 存儲型XSS漏洞原理、案例及防御措施
62 | DOM型XSS漏洞原理、案例及防御措施
63 | 偽協(xié)議與編碼繞過
64 | XSS蠕蟲實(shí)戰(zhàn)案例分析
65 | XSS混淆編碼
66 | CSRF跨站請求偽造漏洞原理、攻擊演練
67 | 同源策略及跨源訪問
68 | XSS及CSRF綜合利用案例分析：點(diǎn)擊劫持
69 | HTML5新標(biāo)簽及相應(yīng)的安全分析（一）
70 | HTML5新標(biāo)簽及相應(yīng)的安全分析（二）
71 | XSS之模板注入 – 初探Node.js模板引擎
72 | XSS之模板注入 – 模板引擎與XSS的關(guān)系
73 | XSS之模板注入 – 經(jīng)典注入手法
74 | Javascript與RCE（遠(yuǎn)程代碼執(zhí)行）
75 | BlackHat議題追蹤：XSS的危害不夠大？ – 構(gòu)造攻擊鏈
76 | BlackHat議題追蹤：XSS的危害不夠大？ – CSRF到XSS
77 | BlackHat議題追蹤：XSS的危害不夠大？ – XSS到RCE
78 | SSRF服務(wù)端請求偽造
第四章：Web安全之容器安全和語言安全 (16講)
79 | Apache安全專題 – 配置錯誤誘發(fā)的漏洞
80 | Apache安全專題 – CVE-2017-15715
81 | Nginx安全專題 – CRLF注入攻擊
82 | Nginx安全專題 – CVE-2017-7529
83 | Tomcat安全專題
84 | PHP安全專題：了解PHP環(huán)境
85 | PHP安全專題：遠(yuǎn)程（本地）文件包含
86 | PHP安全專題：學(xué)習(xí)黑魔法函數(shù)
87 | PHP安全專題：序列化及反序列化漏洞
88 | PHP安全專題：淺談PHP安全編碼
89 | Java Web安全專題：Java Web基礎(chǔ)
90 | Java Web安全專題：淺談代碼審計思路
91 | Node.js安全專題：Node.js基礎(chǔ)
92 | Node.js安全專題：Express及其組件
93 | Node.js安全專題：Node.js安全開發(fā)技術(shù)
94 | Node.js安全專題：Node.js漏洞審計
第五章：Web安全運(yùn)營 (12講)
95 | DDoS之協(xié)議層拒絕服務(wù)攻擊：SYN泛洪、UDP泛洪、ICMP泛洪
96 | DDoS之應(yīng)用層拒絕服務(wù)攻擊：Slowloris攻擊、HTTP Post DoS
97 | 如何做好認(rèn)證與會話管理？
98 | 訪問控制：水平權(quán)限&垂直權(quán)限
99 | 互聯(lián)網(wǎng)公司運(yùn)營安全、業(yè)務(wù)安全、業(yè)務(wù)邏輯安全策略規(guī)范
100 | 如何做好用戶隱私保護(hù)？—— 開發(fā)者視角
101 | 如何做好用戶隱私保護(hù)？—— 用戶體驗(yàn)及產(chǎn)品設(shè)計視角
102 | 網(wǎng)絡(luò)釣魚防范：釣魚網(wǎng)站、郵件釣魚的防控
103 | 怎樣建立安全開發(fā)流程（SDL）？
104 | 漏洞修補(bǔ)應(yīng)當(dāng)遵循怎樣的流程？
105 | 如何建立安全監(jiān)控規(guī)范？
106 | 結(jié)束語
