网络渗透与防护 课程标准 课程标准.docVIP

《网络渗透与防护》课程标准 一、课程定位 本课程是信息安全与管理专业核心课程。课程注重系统化介绍渗透的总体流程和方法，各类漏洞的利用及防护。学生通过学习本课程，能够掌握渗透的过程、信息收集的手段、网络协议漏洞的利用、口令的爆破、常见系统及软件的渗透，以及Web应用常见漏洞的利用。本课程可以作为渗透测试岗位的基础课，安全运维岗位的必修课，IT相关岗位的选修课。课程从企业安全应用实际出发，以递进方式安排课程内容，以基于工作系统思路设计实验情景，贴近企业实际环境，让学生学以致用。 本课程的前导课程：《计算机网络技术基础》、《网络安全基础》、《数据库管理》。 二、课程目标 （一）素质目标 （1）具有科学的世界观、人生观和价值观，践行社会主义荣辱观；具有爱国主义精神；具有责任心和社会责任感；具有法律意识。 （2）具有质量意识、环保意识、安全意识、信息素养、工匠精神、创新思维。 （3）勇于奋斗、乐观向上，具有自我管理能力、职业生涯规划的意识，有较强的集体意识和团队合作精神。 （4）具有较强的自学能力，能举一反三。 （5）具有健康的体魄和良好的身体素质；拥有积极的人生态度；具有良好的心理调试能力。 （二）能力目标 能根据需要选择合适的渗透工具； 能进行渗透前信息收集工作，如端口及漏洞扫描等； 能利用常规的网络协议漏洞进行渗透攻击； 能进行弱口令的爆破和检查； 能利用已知的软件系统漏洞进行攻击； 能挖掘和利用常见的Web应用漏洞； 能够进行安全巡检、安全加固。 （三）知识目标 了解渗透、渗透测试的概念； 掌握渗透的一般过程，熟悉常见的渗透工具； 掌握信息收集的各类方式，以及相关原理； 熟悉常见网络协议的漏洞及利用方法； 熟悉口令破解的各类方式，以及相关防范手段； 熟悉缓冲区溢出类漏洞的原理，熟悉metasploit工具的使用； 掌握常见Web漏洞的工作原理，简单的防御及绕过； 掌握利用常见漏洞渗透的防范方法。 三、课程内容组织 表1 课程内容组织表 序号 项目 任务 知识技能点 建议学时 1 项目一：认识网络渗透 任务1：了解渗透与渗透测试 网络渗透的概念 3 渗透测试的概念 渗透测试所需知识 渗透步骤信息收集 渗透步骤漏洞利用 渗透步骤后续步骤 信息收集工具 漏洞利用工具 渗透工具套件 2 项目二：信息收集 任务1： 网络踩点 Google hacking 3 Whois查询 域名查询 IP查询 任务2： 网络扫描 ICMP主机扫描 6 SYN主机扫描 UDP主机扫描 主机扫描的防范 全连接端口扫描 半连接扫描 高级扫描技术 UDP端口扫描 端口扫描的防范 操作系统类型探查 服务软件类型探查 系统类型探查的防范 漏洞的概念 漏洞扫描的概念 系统漏洞扫描 Web应用漏洞扫描 漏洞扫描的防范 任务3：网络查点 查点的概述及防范 1 3 项目三： 网络协议漏洞的利益 任务1：抓包嗅探 嗅探原理 1 Wireshark抓包 任务2： ARP欺骗 ARP欺骗的原理 1 SwitchSniffer进行arp欺骗 ARP欺骗的防范 任务3： IP欺骗与DNS欺骗 IP欺骗的原理 1 DNS原理 DNS欺骗原理 任务4：拒绝服务攻击 拒绝服务攻击原理 2 SYN泛洪攻击 UDP泛洪攻击 CC攻击 拒绝服务攻击的防范 4 项目四：密码口令的渗透 任务1： 密码口令认证及破解 身份认证的方式 1 口令认证的优缺点 破解口令的方法 口令破解的防范 字典攻击 暴力破解 撞库攻击 设置强口令 任务2： 操作系统密码口令破解 Windows口令概述 3 Linux口令加密与存储 Windows口令本地破解 Mimikatz抓取口令 Windows口令远程破解 Windows口令破解的防范 Linux口令本地破解 SSH口令加密原理 SSH口令爆破 任务3： 其他常见应用口令破解 网站登录口令破解 2 Wifi口令概述 WEP口令的破解 WPA口令破解 WIFI口令破解的防范 5 项目五： 缓冲区溢出漏洞的利用 任务1： 了解缓冲区溢出 缓冲区溢出的原理 2 缓冲区溢出程序分析 缓冲区溢出的利用 Metasploit介绍 任务2：操作系统溢出漏洞的利用 MS17-010漏洞的利用 3 MS12-042漏洞的利用 Telnetd漏洞的利用 任务3： 常见软件系统溢出漏洞的利用 MySQL大整数溢出的原理 1 MySQL大整数溢出的利用 Oracle漏洞的利用 IE浏览器漏洞的利用 IIS漏洞的利用 Office漏洞的利用 6 项目六：Web应用漏洞的利用 任务1： 了解Web应用及其威胁 Web应用概述 1 Web应用面临的威胁 任务2： SQL注入漏洞的利用 SQL注入概述 5 POST型SQL注入 联合查询注入 报错注入 盲注 SQL注入的防范 任务3： XSS跨