Web 漏洞挖掘实战

课前必读 (2讲)



开篇词｜从黑客的视角找漏洞，从安全的角度优雅coding

时长 11:09

导读｜解读OWASP Top10 2021

时长 15:20

失效的访问控制 (5讲)



01｜失效的访问控制：攻击者如何获取其他用户信息？

时长 14:43

02｜路径穿越：你的Web应用系统成了攻击者的资源管理器？

时长 09:58

03 | 敏感数据泄露：攻击者如何获取用户账户？

时长 10:42

04｜权限不合理：攻击者进来就是root权限？

时长 10:45

05｜CSRF：为什么用户的操作他自己不承认？

时长 15:44

加密失败 (7讲)



06｜加密失败：使用了加密算法也会被破解吗？

时长 12:55

07｜弱编码：程序之间的沟通语言安全吗？

时长 16:40

08｜数字证书：攻击者可以伪造证书吗？

时长 12:03

09｜密码算法问题：数学知识如何提高代码可靠性？

时长 17:33

10｜弱随机数生成器：攻击者如何预测随机数？

时长 16:32

11｜忘记加“盐”：加密结果强度不够吗？

时长 17:57

大咖助场｜数字证书，困境与未来

时长 09:51

注入 (13讲)



12｜注入（上）：SQL注入起手式

时长 10:52

13｜注入（下）：SQL注入技战法及相关安全实践

时长 15:50

14｜自动化注入神器（一）：sqlmap的设计思路解析

时长 10:48

15｜自动化注入神器（二）：sqlmap的设计架构解析

时长 08:51

16｜自动化注入神器（三）：sqlmap的核心实现拆解

时长 06:46

17｜自动化注入神器（四）：sqlmap的核心功能解析

时长 08:04

18 | 命令注入：开发的Web应用为什么成为了攻击者的bash？

时长 13:33

19 | 失效的输入检测（上）：攻击者有哪些绕过方案？

时长 11:26

20 | 失效的输入检测（下）：攻击者有哪些绕过方案？

时长 15:28

21｜XSS（上）：前端攻防的主战场

时长 11:31

22｜XSS（中）：跨站脚本攻击的危害性

时长 10:16

23｜XSS（下）：检测与防御方案解析

时长 09:26

24｜资源注入：攻击方式为什么会升级？

时长 10:10

春节特别策划 (3讲)



春节策划（一）｜视频课内容精选：Web渗透测试工具教学

时长 02:54

春节策划（二）｜给你推荐4本Web安全图书

时长 05:15

春节策划（三） | 一套测试题，看看对课程内容的掌握情况

时长 00:45

不安全的设计 (3讲)



25｜业务逻辑漏洞：好的开始是成功的一半

时长 08:24

26｜包含敏感信息的报错：将安全开发标准应用到项目中

时长 10:02

27｜用户账户安全：账户安全体系设计方案与实践

时长 13:51

安全配置错误 (3讲)



28｜安全配置错误：安全问题不只是代码安全

时长 12:41

29｜Session与Cookie：账户体系的安全设计原理

时长 09:40

30｜HTTP Header安全标志：协议级别的安全支持

时长 11:08

其他安全风险串讲 (3讲)



31｜易受攻击和过时的组件：DevSecOps与依赖项安全检查

时长 09:55

32｜软件和数据完整性故障：SolarWinds事件的幕后⿊⼿

时长 09:52

33｜SSRF：穿越边界防护的利刃