网络攻防基础知识.pptVIP

课程内容介绍 第一部分 网络攻防基础知识 第二部分 WEB应用安全漏洞 第三部分 系统安全漏洞 目录 4 渗透测试的课程回顾 3 黑客入侵的行为轨迹 2 渗透测试的执行步骤 1 渗透测试的基本概念 1.2 黑客入侵 1.3 安全漏洞 1.4 问题 1.5 小结 1.1 渗透测试 1.1 渗透测试：基本概念 渗透测试是通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。 1.1 渗透测试：实施方式 1.2 黑客入侵：基本概念 黑客入侵：运用计算机技术，在未授权的情况下挫败信息网络访问控制措施、策略，非法访问、利用信息系统，谋取资金、物品、信息等。 1.3 安全漏洞：基本概念 安全漏洞：计算机信息系统在需求、设计、实现、配置、运行等过程中，有意或无意产生的缺陷。这些缺陷以不同形式存在于计算机信息系统的各个层次和环节之中，一旦被恶意主体所利用，就会对计算机信息系统的安全造成损害，从而影响计算机信息系统的正常运行。如： 设计阶段引入的一个设计得非常容易被破解的加密算法， 实现阶段引入的一个代码缓冲区溢出问题， 运维阶段的一个错误的安全配置。 1.3 安全漏洞：危害等级划分 危害程度从低至高依次为：低危、中危、高危和超危。 1.3 安全漏洞 漏洞平台 中国国家信息安全漏洞库：/ 美国国家漏洞库： 美国国家信息安全应急小组： 国际权威漏洞机构Secunia： 国际权威漏洞库SecurityFocus： IBM网络安全漏洞库Xforce： 国际权威漏洞库OSVDB： 俄罗斯知名安全实验室SecurityLab.ru：http://en.securitylab.ru 国内权威漏洞库： 乌云：/ 补天：/ 1.4 问题 问题：谈谈渗透测试和黑客入侵不同的地方？ 1.5 小结 小结 渗透测试 黑客入侵 安全漏洞 目录 4 渗透测试的课程回顾 3 黑客入侵的行为轨迹 2 渗透测试的执行步骤 1 渗透测试的基本概念 2.2 渗透测试执行标准的七个阶段 2.3 渗透测试执行标准分解 2.4 问题 2.5 小结 2.1 渗透测试执行标准来源 2.1 渗透测试执行标准来源 目前该标准尚在制定过程中，网站地址：/。 2.2 渗透测试执行标准七个阶段 2.3 渗透执行标准分解：前期交互阶段 2.3 渗透执行标准分解：情报搜集阶段 2.3 渗透执行标准分解：威胁建模阶段 2.3 渗透执行标准分解：漏洞分析阶段 2.3 渗透执行标准分解：渗透攻击阶段 2.3 渗透执行标准分解：后渗透攻击阶段 2.3 渗透执行标准分解：报告阶段 2.4 问题 谈谈渗透攻击阶段和后渗透攻击阶段的区别？ 2.5 小结 小结 渗透测试执行标准的七个过程： 前期交互阶段 情报搜集阶段 威胁建模阶段 漏洞分析阶段 渗透攻击阶段 后渗透攻击阶段 报告阶段 目录 4 渗透测试的课程回顾 3 黑客入侵的行为轨迹 2 渗透测试的执行步骤 1 渗透测试的基本概念 3.2 行为轨迹 3.3 明确目标 3.4 控制目标 3.5 收割撤退 3.6 攻击工具 3.1 问题：为什么要了解黑客入侵的行为轨迹？ 3.7 问题解答：为什么要了解黑客入侵的行为轨迹? 3.8 小结 3.1 问题：为什么要了解黑客入侵的行为轨迹？ 3.2 行为轨迹：三个阶段 3.3 明确目标 3.3 明确目标：入侵企图 3.4 控制目标 3.4 控制目标：嗅探踩点 3.4 控制目标：精准定位 3.4 控制目标：精准定位—入侵环境 3.4 控制目标：入侵环境和嗅探踩点 3.4 控制目标：精确打击 3.4 控制目标：漏洞利用—不同层面的安全漏洞 3.4 控制目标：漏洞利用—技术层面常见的漏洞对象 3.4 控制目标：漏洞利用—技术层面—应用程序安全漏洞 应用程序安全漏洞： 攻击者可以通过应用程序中许多不同的路径方法去危害您的业务或者企业组织。每种路径方法都代表一种风险，这些风险可能会，也可能不会严重到值得你去关注。 3.4 控制目标：漏洞利用—技术层面—应用程序安全漏洞 OWASP TOP 10 注入 失效的身份认证和会话管理 跨站脚本（XSS） 不安全的直接对象引用 安全配置错误 敏感信息泄漏 功能级访问控制缺失 跨站请求伪造（CSRF） 使用含有已知漏洞的组件 未验证的重定向和转发 了解： OWASP：/index.php/Main_Page OWASP中国：/ 3.4 控制目标：漏洞利用—技术层面—网络漏洞 网络漏洞：指网络架构、网络设备、安全设备等企业网络存在的安全漏洞，导致网络防护措施失效。 网络运维、管理层面：边界防火墙、IDS等设备部署不到位、安全策略缺陷等； 产品漏洞