知了堂网络安全项目实训走进西南石油大学

为促进网络安全专业发展，培养能够满足于社会需求的网络安全人才，知了堂作为成都天府软件园产教融合基地，联手多所高校实行IT人才共建共育，发展实训课程走入高校，助力大学生综合技能的提升。

8月17日，知了堂教师队伍携网安实训项目来到西南石油大学为19级、20级网络空间安全专业的同学开展为期24天的项目实训，综合提升学生的专业能力及职业素养能力。

开训当日，由知了堂陈老师为大家讲解本次实训课程安排。

实训项目背景：

近日，某地公安机关公布了一起信息泄露案例，其手法与今年的12315晚会上的案例基本一致，该黑客团伙通过APP、网站、信息化系统等平台入侵后获得了大量的数据内容，并在境外漏洞平台上通报了详细攻击过程。

要求：结合企业对安全相关就业岗位的技能要求及安全岗认证要求，选用“模拟黑客攻击方法”对所提供的软件、工具、系统等互联网资源进行一次问题排查和渗透测试，并最终提交1份渗透测试报告。

本次实训以项目实操为主，由项目经理带领学生深入项目，通过技术实践让学生快速理解技术深层原理，熟悉整个项目流程。网络安全是一门实践学科，项目实战可以让学生学以致用，帮助他们提升动手能力，成为一名实战型技术人员，最重要的是拥有了宝贵的项目实践经验，无论是对学习理解还是后期求职，都非常有帮助。

△项目实践后的能力收获

同时配合知了堂职素课程，帮助学生了解就业与企业，明确自身职业方向和职业规则，获得更职业化的学习解决方案和技能考试认证解决方案，并有机会获得到企实习，实现就业。

培养IT精英人才、助力推进网络安全事业繁荣，是知了堂一直坚持的教学方向，随着国家对网络安全越来越重视，出台多项政策进行扶持，知了堂也将紧随国家政策步伐，加大实训教学培养力度，与各高校共同努力实现人才繁荣，实现网络安全事业的全面开花。

知了堂网络安全学习路线

网络安全

第一阶段：网络安全

1 硬件

双绞线、线序、光纤接口类型、塔式5U、机架式、 控制器-主机-存储、数据存储基本概念和术语......

2 协议基础

TCP三次握手、四次挥手、IP、WLAN、DHCP协议 原理及实现、AAA原理与配置、链路聚合、STP ......

3 路由交换

NAT技术应用、静态NAT、动态NAT、PNAT、动态 路由RIP、环路解决机制、链路认证、策略路由......

4 网络安全

HDLC和PPP原理与配置、PPPoE原理与配置、华为 防火墙动态路由配置、URL过滤、文件过滤 ......

5 协议分析

MAC地址欺骗、网络地址转换、漏洞扫描、弱口令扫 描、中间人攻击、恶意代码攻击、基于主机的IPS.....

第二阶段：系统安全

1 Windows Server系统

Winows系统安装与基本配置、用户和组的管理、本地安全策略、本地组策略、磁盘管理、文件共享服务、FTP服务、WDS服务、VPN远程访问服务、多域间访问、操作主机管理、AD数据备份与恢复、日志分析、Windows防火墙配置、Windows系统安全加固、Windows Server Backup实现数据备份与恢复

2 Linux系统基础

Linux系统用户、组和权限的管理、常见的系统日志分析、磁盘管理与文件系统管理、系统软件包管理、服务与进程管理、系统引导过程与故障排除、网络设置、Samba文件共享服务、FTP文件传输服务、DNS域名解析服务、Shell编程规范与变量、条件语句、case语句与循环语句、正则表达式、Awk工具、Sed工具、shell脚本编写实现自动化运维项目实战

3 安全

firewalld防火墙区域的概念、字符管理工具、字符管理工具、snort入侵检测系统介绍、安装部署与策略配置、Web基础与HTTP协议、部署LAMP平台、Apache配置与应用、LVS负载均衡群集、Squid缓存服务器、高性能内存对象缓存Memcached、rsyn远程同步、MFS分布式文件系统

4 自动化云

大型网站架构、自动化运维、部署KVM虚拟化平台、Docker架构、镜像及容器、Docker数据管理与网络通信、构建Docker镜像实战、容器日志实战、Citrix实现桌面虚拟化、服务器监控Cacti、Nagios监控系统、部署Zabbix集中监控系统、云存储、大数据Hadoop

第三阶段：Web安全渗透测试

1 数据库

数据库安装、基本库表操作、危险语句与危险函数、数据库访问控制、数据库系统安全机制概述、身份验证模式、密码策略、权限、角色与架构、权限管理、数据库备份与恢复、数据迁移、数据加密与审核、大数据安全、主从复制、读写分离、日志分析、入侵排查、取证分析

2 信息收集

渗透测试流程（PTES)、渗透测试方法、目标锁定与情报刺探实战、信息收集（主机发现、探索网络、指纹识别、防火墙逃逸）、Nessus、Openvas漏洞扫描与信息收集、域内本地主机信息收集实战、域内远程主机信息收集实战

3 Web安全基础

HTML基础、样式、链接、框架、实体、URL编码、字符集、语言代码、钓鱼网页制作、JS、数据类型、函数、对象、AJAX、JSON、危险函数应用、内置函数/事件应用、PHP、语法、函数、循环、表单、超级全局变量、危险函数、PHP文件、cookie、sessions、PHP XML、AJAX、对象、代码审计、编辑器使用、审计工具应用

4 top10漏洞渗透1

Web架构、http包分析、加密解密、编码解码、Burp、渗透环境部署、信息收集技术、CDN绕过、CMS判断、敏感信息、旁站、服务类型、端口、SQL注入、手工探测、联合查询、报错、时间盲注、布尔盲注、head头注入、堆叠注入

5 top10漏洞渗透2

二次注入、加解码注入、JSON注入、跨库注入、文件读写、命令执行、注册表读取、大小写混合绕过、双写绕过、更改提交、编码绕过、宽字符绕过、等价函数替换、特殊符号混用、数据库特征绕过、注释符混用、HTTP参数渲染、垃圾数据溢出、sqlmap基本使用、tamper编写

6 top10漏洞渗透3

SQL注入修复、WAF特征、过滤函数、自定义函数、PDO预编译、webshell原理、大马、小马、一句话木马、木马编写、木马特征、木马免杀处理、上传绕过、后端验证绕过、后端验证绕过、内容验证绕过、WAF绕过、安全修复、XSS、反射型、存储型、DOM型、防御绕过、Beef-XSS、安全修复、CSRF/SSRF漏洞、漏洞原理、漏洞利用、漏洞修复

7 top10漏洞渗透4

逻辑漏洞、越权、代码执行、命令执行、任意文件下载、漏洞修复、未授权访问、XXE漏洞、漏洞修复 、反序列化、漏洞修复、代码审计实例、代码审计报告、web渗透测试流程、渗透测试报告、web渗透测试工程化

第四阶段：渗透实战

1. 渗透实战1

搜索引擎信息收集技术应用、攻击框架与入侵实战；工具库/恶意代码/漏洞库等信息收集技术手段与应用、Cobalt Strike攻击框架与入侵实战；后渗透技术-PowerShell、PowerSploit、Empire、Nishang、 提权：数据库提权、SUID提权、第三方软件提权；网站渗透基础知识熟悉与了解、后渗透技术-Meterpreter、NC、木马（制做、植入、自启、加壳与脱壳）；部署一套包含内网的环境项目1：漏洞不限，靶机数量在10个以上 （其中包含web3个，内网6个题目）；考核（理论+实践）、总结（PPT、知识文档整理）

2. 渗透实战2

社会工程学谋略应用；提权：系统溢出提权、本地权限提升、脏牛提权、域渗透基础与实战；基于webshell/服务器/账号的网站控制技术应用、主流服务与协议应用控制技术；匿名与虚拟化技术应用、日志清除与攻击后环境还原技术、针对攻击行为和免杀的反检测技术应用；部署一套包含内网的环境项目2：漏洞不限，靶机数量不低于30台主机 （web漏洞15个，内网漏洞15个）；考核（理论+实践）、总结（PPT、知识文档整理）

3. 渗透实战3

·隐蔽讲解1：流量隐蔽、隧道隐蔽等

·隐蔽讲解2：伪装欺骗、代理欺骗等

·内网渗透测试靶机环境部署与设计1

·内网渗透测试靶机环境部署与设计2

·选取企业靶机实战项目3，组织学员红蓝对抗/内网渗透/·取证溯源/攻防渗透比赛。

·渗透项目实战：项目汇报PPT、项目文档、答辩、总结

第五阶段：安全测试

测试理论、测试流程、测试方法论、黑盒测试、白盒俄式、灰盒测试、测试环境部署、代码安全测试、API接口测试、参数安全测试、性能测试、压力测试、测试报告、测试工具：findbug、postman、Mercury测试工具，Rational测试工具，Segue测试工具，qtp自动化测试工具和AutoRunner工具

第六阶段：安全服务

网络安全相关法律法规、标准体系、安全管理制度制定、机房安全建设规范、威胁网络安全的因素、黑客的基本概念及攻击动机分析、情报分析技术、取证技术、信息收集技术、漏洞扫描技术、后门添加及检测技术、隐蔽隧道防护技术、恶意代码检测及分析、日志分析技术、等级保护、风险评估、应急响应、等保3.0网络安全防护体系架构、云安全防护技术、大数据安全、物联网安全。

知了堂网络安全就业班

项目实战教学 正在热报中

扫码加小姐姐微信咨询