課程描述INTRODUCTION
信息安全技術(shù)競賽
培訓(xùn)講師：專家
課程價格：￥元/人
培訓(xùn)天數(shù)：7天
日程安排SCHEDULE
課程大綱Syllabus
信息安全技術(shù)競賽
一、培訓(xùn)背景
CTF（Capture The Flag，奪旗賽）是一種流行于網(wǎng)絡(luò)安全技術(shù)人員之間的一種信息安全技術(shù)競賽。其前身是傳統(tǒng)黑客之間網(wǎng)絡(luò)技術(shù)比拼的游戲，以代替之前黑客們通過互相發(fā)起真實攻擊進行技術(shù)比拼的方式。起源于1996年第四屆DEFCON?，F(xiàn)在已成為全球范圍網(wǎng)絡(luò)安全圈流行的競賽形式。
通常CTF分為三種賽制：解題賽（Jeopardy）、攻防賽（Attack-Defence）和混合賽。
競賽模式基本分為解題模式、攻防模式和混合模式。大多題目的內(nèi)容基本包括web安全，密碼學(xué)、逆向、二進制安全編程類題目等國內(nèi)外有很多CTF比賽。
解題賽是線上賽通常采取的賽制，題目通常分為多個類型，如Web，F(xiàn)orensic（取證），Crypto（密碼學(xué)），Binary（二進制）等。團隊或個人可以通過解題獲得一串具有一定格式的字符串，也就是flag。將flag提交到競賽平臺可以獲得積分。題目的難度越大，分值就越高。當(dāng)比賽結(jié)束后，得分最高者勝出。
攻防賽是另一種有趣的賽制，常見于線下決賽。攻防賽中，每個隊伍都會被分配一臺主機或虛擬機，稱為gamebox，隊員可以通過網(wǎng)絡(luò)連接到gamebox。而所有隊伍的gamebox通過內(nèi)網(wǎng)連接在一起。每個隊伍的gamebox上都運行著多個相同的服務(wù)。參賽隊伍需要挖掘服務(wù)的漏洞，然后攻擊其他隊伍的服務(wù)來獲取flag，并提交給計分服務(wù)器來獲取積分。與此同時，參賽隊伍還需要修補自身服務(wù)中的漏洞來防止丟分。攻防賽不僅考驗了參賽選手的技術(shù)水平，還考驗了參賽者的體力，因為通常參賽者需要連續(xù)混合賽可能采取解題賽和攻防賽的混合模式，也可能是其他形式。
二、培訓(xùn)介紹
本次CTF競賽培訓(xùn)包括培訓(xùn)和考核兩部分，5天集中培訓(xùn)和2天考核。
三、日程安排
一、CTF入門
1.CTF概念和入門
2.國內(nèi)外安全攻防比賽現(xiàn)狀
3.攻防比賽方式和題型介紹
4.安全培訓(xùn)基礎(chǔ)環(huán)境介紹和配置搭建
5.實訓(xùn)期間所需工具包和資料分發(fā)
6.操作系統(tǒng)命令和數(shù)據(jù)庫基礎(chǔ)
7.PHP和python程序入門
8.數(shù)據(jù)庫基礎(chǔ)入門和SQL語言簡述
9.網(wǎng)絡(luò)安全攻防滲透基礎(chǔ)知識（搜集、定點、攻擊等）
10.Linux安全基礎(chǔ)（基本命令、系統(tǒng)管理、反彈shell等）
11.Windows安全基礎(chǔ)（DOS/PS基本命令、用戶權(quán)限、AD、網(wǎng)絡(luò)協(xié)議等）
二、數(shù)據(jù)隱寫
1.數(shù)據(jù)隱寫基礎(chǔ)和工具分發(fā)
2.隱寫比賽模式和題型分析
3.隱寫專項練習(xí)：圖片隱寫、視頻隱寫、音頻隱寫、網(wǎng)絡(luò)協(xié)議隱藏、pdf隱寫、壓縮文件隱寫等
三、MISC雜項
1.常見MISC雜項題目分析
2.網(wǎng)絡(luò)流量協(xié)議分析基礎(chǔ)
3.Wireshark工具實操
4.系統(tǒng)日志分析思路
5.社會工程學(xué)概念
6.其他技術(shù)點探討
四、密碼編碼
1.常見比賽密碼學(xué)題型分析
2.密碼編碼工具介紹和分發(fā)
3.密碼學(xué)理論基礎(chǔ)（凱撒、柵欄、莫斯等）
4.古典密碼學(xué)題型分析
5.編碼解碼基礎(chǔ)入門
6.常見編碼解碼題型分析
五、密碼學(xué)進階
1.現(xiàn)代密碼學(xué)入門
2.算法加解密原理
3.題型分析和關(guān)鍵代碼學(xué)習(xí)
4.其他算法介紹
六、綜合訓(xùn)練
1.隱寫技術(shù)復(fù)習(xí)
2.密碼學(xué)復(fù)習(xí)
3.題目答疑解惑
4.雜項題目實操
七、WEB基礎(chǔ)
1.Web漏洞基礎(chǔ)和工具介紹
2.WEB爆破和burp實操
3.任意文件下載和信息泄露
4.文件上傳和文件解析漏洞分析
5.XSS跨站攻擊（反射、存儲、DOM）靶場實操
6.命令執(zhí)行原理和OS命令強化
7.代碼執(zhí)行和PHP代碼強化
8.XXE原理分析和賽題解析
八、SQLI提高
SQL注入基礎(chǔ)（原理、工具、SQLMAP等）
SQL注入進階（報錯、盲注、聯(lián)合、寬字節(jié)、二階注入、二次編碼等注入）
九、WEB強化
1.PHP反序列化題型分析
2.SSRF原理和題型分析
3.弱類型技術(shù)原理
4.變量覆蓋和條件競爭
5.文件包含強化（偽協(xié)議、結(jié)合上傳、結(jié)合XSS等）
6.SSTI模板注入分析（flask等框架介紹）
十、代碼審計
1.python安全編程與代碼審計
2.PHP安全編程與代碼審計
3.Java、JSP安全編程與代碼審計
4.代碼審計工具和真題分析
實操練習(xí)：典型題目實操練習(xí)和指導(dǎo)
十一、逆向工程
1.逆向工程入門
2.匯編語言基礎(chǔ)和關(guān)鍵語句詳解
3.PE格式介紹和X86/X64平臺原理
4.靜態(tài)分析和動態(tài)調(diào)試工具介紹
5.代碼和數(shù)據(jù)結(jié)構(gòu)分析
6.逆向題目技術(shù)點分析和題型介紹
7.Android基礎(chǔ)和逆向題型
8.逆向題目實操和技能強化
9.【PWN入門和題型概述】（酌情）
CTF模擬訓(xùn)練：個人奪旗戰(zhàn)和AWD攻防混戰(zhàn)（0.5天）
CTF解題賽：（提供賽題和比賽平臺，1.5天）
授課專家
趙老師 從事信息安全技術(shù)研究和管理工作十余年多，擅長網(wǎng)絡(luò)攻防、滲透測試、漏洞挖掘、應(yīng)用安全、逆向分析、木馬病毒、主機數(shù)據(jù)庫安全測試加固、安全編程，積累了豐富的管理顧問實戰(zhàn)經(jīng)驗，精通網(wǎng)絡(luò)安全架構(gòu)及安全評估、精通WEB滲透及防御技術(shù)。曾參與國內(nèi)多家網(wǎng)絡(luò)安全競賽攻防項目。
郭老師 取得認證：安全 CCIE，SP CCIE，UC 統(tǒng)一通信 CCIE，CCSI，CCDP，MCSE，CISP-PTE，CISSP、CISP等，專業(yè)技能： 計算機語言：Python、C++、匯編、PHP； 了解基本二進制漏洞，熟悉Web攻防，熟練掌握各類Web漏洞的成因/利用方式/危害性/繞過思路，以及正確修復(fù)方法； 有豐富的滲透測試經(jīng)驗，熟練掌握metasploit等攻擊框架，以及內(nèi)網(wǎng)滲透、系統(tǒng)漏洞利用、權(quán)限提升、服務(wù)器加固等相關(guān)技術(shù)； 深入了解 TCP/IP 理論和 ISO 網(wǎng)絡(luò)模型， 具備深厚、全面的路由交換技術(shù)以及 VOIP、Wireless LAN、網(wǎng)管技術(shù)；有若干大型 IP 網(wǎng)絡(luò)建設(shè)工程的設(shè)計及項目實施經(jīng)驗；熟悉主流的信息安全產(chǎn)品及解決方案； 熟練掌握網(wǎng)絡(luò)數(shù)通產(chǎn)品調(diào)試、故障排除、軟件系統(tǒng)升級等技術(shù)（思科/微軟/Juniper/綠盟/華為/H3C 等）。 熟悉 Frame Relay，ATM，SDH，光傳輸，CA server，AAA server， CallManager server，CiscoWorks，SSL VPN， IPSec VPN，MPLS VPN，等常用網(wǎng)絡(luò)的安裝調(diào)試及故障檢測；深入掌握信息安全相關(guān)知識及技術(shù)技能經(jīng)驗要求； 能熟練使用各主流網(wǎng)絡(luò)安全廠商的安全設(shè)備（綠盟 IPS,IDS,WAF；思科及山石防火墻,網(wǎng)康上網(wǎng)行為管理，科來網(wǎng)絡(luò)行為回溯分析平 臺，堡壘機，VPN 網(wǎng)關(guān)，廣州天懋非法違規(guī)外聯(lián)平臺，主流態(tài)勢感知平臺，反垃圾郵件系統(tǒng)……） 具有 IT 管理流程創(chuàng)立及規(guī)范化經(jīng)驗，具備 ITIL 管理模式的相關(guān)經(jīng)驗；具 10 年以上大型信息系統(tǒng)維護和技術(shù)管理工作經(jīng)驗。
高老師 曾任北京頂牛，安全部，滲透測試組組長，中國金融認證中心，信息安全服務(wù)部，信息安全工程師，獲得銀聯(lián)系統(tǒng)CTF線下賽-三等獎，主要項目經(jīng)歷包括Web滲透、APP安全測試(android)、微信小程序、API接口、CTF、逆向、后滲透及持久化方面，知識面比較廣。只列主要舉項目名稱，對具體漏洞無法列舉；由于某些項目的特殊性，只能大概描述下項目/任務(wù)名稱：中國聯(lián)通滲透測試項目，中國石化滲透測試項目，中遠集團滲透測試項目，南方電網(wǎng)滲透測試項目，南方航空滲透測試項目，委內(nèi)瑞拉國際培訓(xùn)項目，某部隊CTF賽前培訓(xùn)，第二屆強網(wǎng)杯CTF挑戰(zhàn)賽（線上三等獎，線下三等獎），網(wǎng)信辦滲透測試任務(wù)，無人機takeover項目，聯(lián)通支付平臺滲透測試項目等。
信息安全技術(shù)競賽
轉(zhuǎn)載：http://szsxbj.com/gkk_detail/246370.html