课程中心

漏洞挖掘技术培训旨在教授学员如何识别、分析并利用软件和系统中的安全漏洞，找到相关的安全隐患。通过理论与实践相结合的方式，学员将学习到安全与漏洞挖掘的基础知识、漏洞挖掘的技术手段以及漏洞利用的方法；课程覆盖了代码审计技术、模糊测试技术、高级漏洞挖掘技术等等，通过本课程的学习，学员将能够掌握安全评估的基本技能，并了解如何在法律法规与道德准则范围内进行漏洞挖掘。

培训目的

1、理解软件安全的重要性以及常见的安全威胁

2、掌握漏洞挖掘的技术原理

3、掌握代码审计技术

4、掌握模糊测试技术

5、熟练使用漏洞挖掘工具

证书

课程结束，颁发中科院计算所培训中心“漏洞挖掘技术”结业证书。

一、培训对象

1、对信息安全感兴趣的软件开发人员；

2、负责系统安全测试的专业人士；

3、想要提高软件安全技能的IT安全顾问；

4、对软件漏洞挖掘有兴趣的学生或研究人员。

二、学员基础

1、具备一定的编程能力，熟悉一种编程语言。

2、了解基本的计算机网络知识。

3、对软件开发周期有一定的认识。

4、对操作系统安全有一定的了解。

培训内容

本课程分2天时间讲授。

第一天：理论基础与基础技能构建

1、开场与介绍

• 培训目标概述
• 安全与漏洞挖掘的重要性
• 网络安全现状与趋势

2、漏洞挖掘理论基础

• 什么是漏洞与漏洞挖掘
• 漏洞的生命周期
• 常见的漏洞类型（如SQL注入、XSS、CSRF、命令注入等）
• 漏洞评分系统（如CVSS）
• 法律法规与道德准则

3、编程与网络安全基础

• 编程语言基础（以Java为例）
• 网络协议基础（TCP/IP、HTTP/HTTPS等）
• 操作系统基础与安全（Windows/Linux）
• Web技术基础（HTML, CSS, JavaScript）

4、漏洞挖掘基础知识

• 漏洞挖掘的基本流程
• 信息收集技巧（Whois、DNS查询、端口扫描等）
• 常见的防御机制与绕过技巧

5、特定漏洞深入讲解

• SQL注入漏洞详解
• 跨站脚本（XSS）漏洞详解
• 跨站请求伪造漏洞详解
• 任意命令执行漏洞详解
• 任意文件上传漏洞详解
• 未授权访问漏洞详解
• 逻辑漏洞详解
• 反序列化漏洞详解

第二天：实战技能提升与高级技巧

6、漏洞挖掘方法与工具使用

7、代码审计技术

• 代码审计的基本概念与流程
• 静态代码分析工具介绍（如Code force, Fortify）
• 实战演练：使用工具进行代码审计
• 手工审计技巧与案例分析

8、模糊测试技术

• 模糊测试原理与分类
• 模糊测试工具介绍（如AFL, Peach）
• 实战演练：设置模糊测试环境，编写模糊测试脚本
• 模糊测试结果分析与漏洞验证

9、漏洞挖掘工具深入讲解

• Burp Suite使用技巧
• Nessus/OpenVAS扫描器应用
• Metasploit框架
• AFL模糊测试工具使用方法
• Fortify代码审计使用技巧

10、漏洞挖掘实战演练

• SQL注入漏洞挖掘
• 跨站脚本（XSS）漏洞挖掘
• 跨站请求伪造漏洞挖掘
• 任意命令执行漏洞挖掘
• 任意文件上传漏洞挖掘
• 未授权访问漏洞挖掘
• 逻辑漏洞挖掘
• 反序列化漏洞挖掘

11、高级漏洞挖掘技巧

• 漏洞链构建与利用
• 0day漏洞挖掘思路与技巧
• 逆向工程在漏洞挖掘中的应用
• 自动化漏洞挖掘工具开发基础

汇款、微信转帐

汇款信息：

单位名称：北京市海淀区中科院计算所职业技能培训学校

开户行：工行海淀西区支行

账号：0200 0045 1920 0043 667

开户银行代码：1021 0000 0458

微信转账：

    步骤一：打开微信，扫描二微码付款时，点击打开微信右下角里的“发现”，在列表界面有一个“扫一扫”选项，点击打开“扫一扫”（如下图）：

    步骤二：点击打开“扫一扫”后，会出现一个扫描框，将中科院计算所培训中心二维码/条码放入框内，即可自动扫描，并显示支付信息，输入付款金额。

    （中科院计算所培训中心二维码）

    步骤三：点击 “添加付款备注”，填写付款人姓名和单位全称，所有信息核对无误后，点击“确认付款”，完成支付。

• 注意：步骤三是为了尽快确认您的培训费用是否到帐，方便为您查帐，所以一定要把付款人姓名和单位名称填写完整，如果姓名和单位名称超过20个汉字，单位名称可以填写简称。