网络安全考试-web安全.pdf

WEB安全 大纲要求  了解常见Web安全漏洞原理及测试方法  掌握常见Web漏洞检测工具使用方法  能运用商用或开源工具并结合人工分析， 对目标Web系统进行安全防护检测  针对检测结果对Web系统进行安全加固  安全漏洞至少包括OWASP TOP 10及常见 Web安全漏洞 2 Web安全  APT攻击介绍  常见Web漏洞  SQL注入攻击介绍及防范  XSS跨站脚本攻击与Cookie欺骗  CSRF攻击介绍  网页挂马与Webshell  上传漏洞  Web后台的爆破 3  认证与会话管理漏洞 Web安全  安全配置错误处理漏洞  不安全的加密存储  失效的URL访问限制  不足的传输层保护  未验证的重定向和转发  DOS攻击  其他Web攻击方式  Web安全工具演示  Web安全防御 4 APT攻击介绍 5 ATP攻击介绍 APT全称：Advanced Persistent T hreat APT 概念： APT是指高级的持续性的渗透攻击，是针对特定组织 的多方位的攻击 APT不是一种新的攻击手法，因此也无法通过阻止一 次攻击就让问题消失 6 ATP案例1——极光行动（2009-- 极光行动简介： 2010 ） 极光行动（Operation Aurora ）是2009年12月中旬可 能源自中国的一场网络攻击，其名称“Aurora” （意为 极光、欧若拉）来自攻击者电脑上恶意文件所在路径的一 部分。 2010年1月12日，Google在它的官方博客上披露了遭到 该攻击的时间。此外还有20多家公司也遭受了类似的攻 击（部分来源显示超过34家） 7 ATP案例1——极光行动（2009-- 攻击过程回放： 2010 ） 搜集Google员工在Facebook 、Twitter等社交网站上发布的信息； 利用动态DNS供应商建立托管伪造照片网站的Web服务器，Google员工收到 来自信任的人发来的网络链接并且点击，含有shellcode的JavaScript造 成IE浏览器溢出，远程下载并运行程序； 通过SSL安全隧道与受害人机器建立连接，持续监听并最终获得该雇员访 问Google服务器的帐号密码等信息； 使用该雇员的凭证成功渗透进入Google邮件服务器，进而不断获取特定 Gmail账户的邮件内容信息。 8 ATP案例1——极光行动（2009-- 攻击的关键环节：2010 ） 9 ATP案例2——夜龙行动（2007-- 夜龙行动简介： 2011 ） 据美国 《华尔街日报》2011.2.10报道，美国网络安全公司 McAfee发表报告称，5家西方跨国能源公司遭到“来自中国”的 黑客“有组织、隐蔽、有针对性”的攻击。超过千兆字节的敏感文 件被窃，包括油气田操作的机密信息、项目融资与投标文件等。 McAfee的报告称这场网络间谍行动代号为“夜龙”（Night Dragon ），最早可能开始于2007年，目前攻击行动仍在持续。 10 ATP案例2——夜龙行动（2007-- 攻击过程回放： 201