Web安全渗透之Google Hacking实战指南

Web安全渗透之Google Hacking实战指南

适用人群： ①Web安全工程师 ②Web渗透测试工程师 ③网络安全工程师 ④白帽子黑客

共1课时
43分28秒
2018-08-25更新

课程目标

掌握Google Hacking技巧，掌握常用关键词的使用和组合，例如site、filetype、intitle、inurl、intext等。

适用人群

①Web安全工程师 ②Web渗透测试工程师 ③网络安全工程师 ④白帽子黑客

课程简介

【课程系列介绍】本课程归属陈鑫杰老师【Python&Web安全渗透系列课】，大家可以按需进行购买：如果有Python功底，可以直接学Django课；如果有Web开发基础，可以直接学Web安全渗透测试课程。本系列课程包括《Python编程基础》、《Django Web基础入门》+ 《Django Web项目实战》、《Web安全渗透课》三部曲，是国内第一套基于思维导图方式进行授课的Python&Web安全课，抛弃传统PPT翻书式授课，用更体系更科学的姿势带你学好这门课程。每一张技术图解、每一行代码、每一个项目案例，都由陈老师亲自操刀、精心设计并耐心讲解。而上一个由陈老师亲自打造的课程体系《CCIE魔鬼训练营》，已经累积了第一个100万在线学员，而手把手带的线下面授学员也已经遍布在国内最一线的互联网、网络&安全企业、国企政企、系统集成商/服务商等单位。《CCIE魔鬼训练营》系列课偏向[安全防御]，而《Web安全渗透系列课》偏向[渗透攻击]。当然，除了区分，更有联系。《Web安全渗透系列课》是《CCIE魔鬼训练营》强有力的延伸拓展，使得我们在技术栈方面[从硬到软、从防到攻]。不仅如此，从求职面来讲，我们除了做网络工程、安全运维、安全服务、安全售后，更可以从事Web安全、渗透测试、安全审计等工作。【课程概述】安全行业的趋势正在从被动防御变为主动防御，一个技术栈合格的网络安全工程师，不仅仅要知道如何防御，更要懂得如何渗透/攻击。而渗透测试（Penetration Test）这门技术，跟我们网络安全岗位中经常听到的[安全服务]、[安全售后]、[安全运维]、[安全加固]等等都有所不同，后者研究的内容是如何做好安全防御，例如如何设计一个安全稳定的企业或数据中心网络架构？如何部署防火墙和入侵防御产品防止黑客入侵？如何设计一个VPN网络解决企业的数据通信安全？而前者（渗透测试），说白了，就是一门Hacking的技术！ 站在安全防御的对立面，核心技术面其实是[入侵]或[攻击]，模拟黑客对客户/自家服务/应用进行渗透测试（黑盒或百盒），并给出安全审计和评估报告。安全领域的攻防两方，无论哪一端真正深入进去其实都探不到底，学安全技术的，都应该心怀敬畏。例如防御端涉及到的包括安全架构（接入、汇聚、核心、DMZ、出口区、双活冗余、负载均衡…）、安全产品（防火墙、入侵检测/防御、UTM、VPN、网闸、防病毒…）、安全项目（等级保护、分级保护、安全集成…）。 而攻击端（渗透测试）这个领域也在不断细分，例如Web渗透测试、移动渗透测试、工控渗透测试 ….. 总之，应用、服务、流量在哪里，渗透和攻击就在那里。举个栗子：防御端经常听到的话题可能是：用哪套安全方案？这个防火墙放哪里好？用透明还是路由模式？有没有必要做主备，主备是否要双活？而攻击端经常听到的话题是：这个WAF怎么过？这个版本的“狗”做的很严啊，跑个脚本看看能不能过规则集？某知名安全防火墙出现远程命令执行漏洞可批量getshell、某知名CMS爆出SQL注入漏洞可致用户数据泄露 ….. ** 所以，要真正做到安全，只有攻防两端都做到，才能实现做到所谓的[知己知彼，百战百胜]。**而拼客学院（陈鑫杰老师）做了4年的实战型网络和安全课程《CCIE魔鬼训练营》（如今已经积累了100万在线学员，而线下面授学员也分布在国内最一线的互联网、网络&安全企业、国企政企单位等） 这个课程体系的核心主要在于[安全防御]，例如我们学到的“网络协议与分析”、“企业网架构与内网安全”、“城域网/电信网设计与部署”、“VPN加密网络原理与部署”、“防火墙/IPS构建安全网络”等等…. 当然，[渗透测试]这个课程内容，早在15/16年的时候，训练营也已经增加了《BT5&Metasploit渗透测试从入门到精通》这个内容。而《Web安全渗透系列课》，则在原有渗透课的基础上进行升级，聚焦和专注于当前最火热的Web应用安全领域，在这个课程中，我们将学习如何通过Google dork和Shodan hacking的方式对目标网站和业务服务器的信息和漏点探测，如何利用Web漏扫框架例如Burp/WVS/Appscan对目标站点执行安全评估，掌握常见的Web漏洞原理与利用方式，包括SQL注入、文件上传、Webshell编写、命令执行、XSS、CSRF等。基于不同漏洞点，我们可以拿到目前站点的数据库（拖库）、可以对网站进行”挂马”（Webshell），也可以进行客户端钓鱼或劫持等……既然是一门专注于Hacking的技术，在课程上面，我们不仅要懂原理，更力争实战，除了通过Web渗透靶机如OWASP BWA、DVWA、Mutillidae、PentesterLab进行实战演练和代码分析，也会在真实世界里教大家如何拿站，并且分享以下实战案例：如何通过Google找到常见SQL注入网站并getshell？如何通过Discuz通用注入漏洞或Apache Struts2命令执行漏洞批量拿站？如何批量拿下底下色情黑产网站？通过Shodan拿摄像头、WiFi设备、路由器进行旁注和内网渗透？当然，学渗透技术和Hacking技术，不是为了Hack别人，最重要的是，我们要通过Hack的方式，学会更好的为客户和自家Web应用和服务实现安全防御。Anyway，《Web安全渗透系列课》的加入， 使得拼客学院整个安全课程体系变得更加立体和丰满，实现了真正的[攻防两端]的安全技能闭环，更好的满足当前安全行业无论是甲方还是乙方对于高端安全人才的需求。在这里，为了让大家更直观的了解这门新的课程，这里出给部分课程截图、技术图解和代码内容。

视频列表

Google Hacking实战指南