课程介绍
依据《信息安全保障人员认证准则》，确定信息安全保障人员认证（CISAW）渗透测试方向的考试目标和要求。 信息安全保障人员认证（CISAW）渗透测试方向的考试主要考查考生对渗透测试基础知识、基本技能掌握程度和综合运用所学知识分析、解决问题的能力。
培训对象
从事相关工作的专业人员。
课程收益
1）推理论证能力 — 具有渗透测试技术方案与实施方案的设计、漏洞修复方案的制定等方面的综合能力；
2）实践操作能力 — 具有渗透测试所需安全技能中的实际操作能力，例如信息收集工具的使用，Web 应用漏洞扫描器的使用，漏洞利用工具的使用及常见漏洞的挖掘等能力；
3）综合应用能力 — 具有渗透测试前期交互、信息收集、漏洞扫描、漏洞挖掘、漏洞利用等几个阶段所需技能的综合应用与把控能力。例如，能够理解渗透测试流程与方法，具备综合利用管理措施和技术手段实施安全服务项目的能力。
知识概要
-- 渗透测试概述；
-- 信息收集；
-- 漏洞扫描；
-- 渗透测试技术；
-- 高级渗透测试技术。
课程大纲
渗透测试概述
渗透测试概念、流程与思路，渗透测试服务的基本介绍
网络安全法与渗透测试职业道德规范
Web 服务器运作原理
Web 应用程序常见的编码方式
HTTP 协议报文格式、请求方法、状态码
本地攻击环境搭建的方法
BurpSuite 与 Firefox 插件的使用
信息收集
信息收集工具使用，包括 Google Hacking、网络空间搜索引擎、Nmap
域名信息收集的方法与手段
服务器信息收集的方法与手段
Web 应用信息收集收集的方法与手段
漏洞扫描
漏洞扫描流程与方法
漏洞扫描工具的基本使用，包括 AWVS、Nessus
渗透测试技术
WebShell 原理与 WebShell 管理工具基本使用
文件上传漏洞的原理、漏洞利用、防护和绕过的手段与方法
XSS 漏洞的原理、漏洞利用、防护的手段与方法
CSRF 漏洞的原理、漏洞利用、防护的手段与方法
SQL 漏洞的原理、漏洞利用、防护的手段与方法
SQLMAP 工具的基本使用
代码执行漏洞的原理、漏洞利用、防护的手段与方法
命令执行漏洞的原理、漏洞利用、防护的手段与方法
反序列化漏洞的原理、漏洞利用、防护的手段与方法
对常见身份认证场景的攻击手段与方法
越权的原理、漏洞利用的手段与方法
逻辑漏洞常见场景的漏洞挖掘、利用的手段与方法
SSRF、XXE、文件包含等漏洞的原理、漏洞利用、防护的手段与方法
常见中间件漏洞利用及检测方法
主机与数据库漏洞利用及检测方法
高级渗透测试技术
WebShell 查杀、免杀技术
WAF 鉴别与探测
WAF 绕过思路与方法
反弹 Shell 方法与手段
权限提升的方法与手段
认证过程
考试方式：闭卷，笔试加实操，时长2.5 小时，笔试分为单选30题，多选10题，试卷满分70分，实操满分50分，总分120分；
证书获取：84 分(含)为合格，成绩合格的，可根据《信息安全保障人员认证准则》相关要求，被授予基础级或专业级认证证书。
开班信息
暂无开班信息