Web安全渗透课程导论

07月

6848 1 1

作者：陈鑫杰（拼客学院院长）

### 《拼客学院网络安全训练营》课程导论系列

#### 第三篇渗透测试学什么？年度新课《Web安全渗透课》又在学什么？

> 跟原有的《CCIE魔鬼训练营》学到的网络和安全技术有什么区别？

正如上面所说，安全行业的趋势正在从被动防御变为主动防御，一个技术栈合格的网络安全工程师，不仅仅要知道如何防御，更要懂得如何渗透/攻击。而**渗透测试（Penetration Test）**这门技术，跟我们网络安全岗位中经常听到的[安全服务]、[安全售后]、[安全运维]、[安全加固]等等都有所不同，后者研究的内容是如何做好**安全防御**，例如如何设计一个安全稳定的企业或数据中心网络架构？如何部署防火墙和入侵防御产品防止黑客入侵？如何设计一个VPN网络解决企业的数据通信安全？而前者（渗透测试），说白了，就是一门Hacking的技术！站在安全防御的对立面，核心技术面其实是[入侵]或[攻击]，模拟黑客对客户/自家服务/应用进行渗透测试（黑盒或百盒），并给出安全审计和评估报告。

安全领域的攻防两方，无论哪一端真正深入进去其实都探不到底，学安全技术的，都应该心怀敬畏。例如防御端涉及到的包括安全架构（接入、汇聚、核心、DMZ、出口区、双活冗余、负载均衡...）、安全产品（防火墙、入侵检测/防御、UTM、VPN、网闸、防病毒...）、安全项目（等级保护、分级保护、安全集成...）。而攻击端（渗透测试）这个领域也在不断细分，例如Web渗透测试、移动渗透测试、工控渗透测试 ..... 总之，应用、服务、流量在哪里，渗透和攻击就在那里。举个栗子：防御端经常听到的话题可能是：用哪套安全方案？这个防火墙放哪里好？用透明还是路由模式？有没有必要做主备，主备是否要双活？而攻击端经常听到的话题是：这个WAF怎么过？这个版本的“狗”做的很严啊，跑个脚本看看能不能过规则集？某知名安全防火墙出现远程命令执行漏洞可批量getshell、某知名CMS爆出SQL注入漏洞可致用户数据泄露 ..... ** 所以，要真正做到安全，只有攻防两端都做到，才能实现做到所谓的[知己知彼，百战百胜]。**

而拼客学院做了4年的实战型网络和安全课程《CCIE魔鬼训练营》（如今已经积累了100万在线学员，而线下面授学员也分布在国内最一线的互联网、网络&安全企业、国企政企单位等）这个课程体系的核心主要在于[安全防御]，例如我们学到的“网络协议与分析”、“企业网架构与内网安全”、“城域网/电信网设计与部署”、“VPN加密网络原理与部署”、“防火墙/IPS构建安全网络”等等.... 当然，[渗透测试]这个课程内容，早在15/16年的时候，训练营也已经增加了《Kali Linux与Metasploit渗透测试》这个内容。

而《Web安全渗透系列课》，则在原有渗透课的基础上进行升级，聚焦和专注于当前最火热的Web应用安全领域，在这个课程中，我们将学习如何通过Google dork和Shodan hacking的方式对目标网站和业务服务器的信息和漏点探测，如何利用Web漏扫框架例如Burp/WVS/Appscan对目标站点执行安全评估，掌握常见的Web漏洞原理与利用方式，包括SQL注入、文件上传、Webshell编写、命令执行、XSS、CSRF等。基于不同漏洞点，我们可以拿到目前站点的数据库（拖库）、可以对网站进行"挂马"（Webshell），也可以进行客户端钓鱼或劫持等……

既然是一门专注于Hacking的技术，在课程上面，我们不仅要懂原理，更力争实战，除了通过Web渗透靶机如OWASP BWA、DVWA、Mutillidae、PentesterLab进行实战演练和代码分析，也会在真实世界里教大家如何拿站，并且分享以下实战案例：如何通过Google找到常见SQL注入网站并getshell？如何通过Discuz通用注入漏洞或Apache Struts2命令执行漏洞批量拿站？如何批量拿下底下色情黑产网站？通过Shodan拿摄像头、WiFi设备、路由器进行旁注和内网渗透？

当然，学渗透技术和Hacking技术，不是为了Hack别人，最重要的是，我们要通过Hack的方式，学会更好的为客户和自家Web应用和服务实现安全防御。Anyway，《Web安全渗透系列课的加入，使得拼客学院整个安全课程体系变得更加立体和丰满，实现了真正的[攻防两端]的安全技能闭环，更好的满足当前安全行业无论是甲方还是乙方对于高端安全人才的需求。在这里，为了让大家更直观的了解这门新的课程，这里出给部分课程截图、技术图解和代码内容。

##### Web安全渗透实验室

关键词：Kali Linux、OWASP BWA、DVWA、Mutillidae II、PentesterLab