Web安全基础实验（选修）教学大纲

Web安全实验（选修）教学大纲课程编号：08064102课程中文名称：Web安全实验课程英文名称：WebSecurityExperiments总学分：1总学时：36理论学时：0实践学时：36授课对象：XXX课程负责人：XXX课程性质：通识教育必修课程□通识教育选修课程□基础教育必修课程□基础教育选修课程☑专业教育必修课程□专业教育选修课程□先修课程：网络安全基础、计算机网络教材：（包括教材名称，作者，出版社及出版时间）Web安全基础,清华大学出版社,刘志全等,2025年Web安全实践,清华大学出版社,刘志全等,2025年教学目标：（建立体现毕业要求的课程目标）本课程是与《Web安全》理论课程相结合的实践课程，旨在通过动手实验和实践操作，帮助学生深入理解Web应用安全的基本原理和常见威胁，培养学生的攻防意识和实际操作能力。课程内容包括常见攻击手法（如SQL注入、XSS、CSRF等）、防御策略以及实际的渗透测试工具使用。学生将通过动手实验掌握漏洞识别、利用及修复的技能，培养解决实际安全问题的能力。教学要求：本课程要求学生在学习理论知识的同时，积极参与实践，通过实验与项目，熟练掌握Web安全的基本技术与方法。同时，教师需加强与学生的互动，及时解答学生在学习过程中的疑问，耐心指导学生完成各项实践任务，帮助学生提高对信息安全技术的理解与应用能力。此外，鼓励学生进行自主学习，查找相关资料，以拓宽安全知识面，培养独立思考和解决问题的能力。教学内容及学时安排：本课程主要讲授Web安全基础的相关知识和技能，主要教学内容及学时安排如下：学习单元第一章虚拟机安装与基础配置实验学时2学时学习目标掌握虚拟化技术，了解如何使用虚拟机软件（如VMwareWorkstation）进行虚拟机安装学会配置虚拟机网络，设置基本的虚拟机环境（操作系统安装、网络配置、文件共享等）了解虚拟机的常见问题及其解决方法学习内容知识点了解掌握重点难点虚拟化技术基本概念√VMware安装√虚拟机网络设置（NAT、桥接）√虚拟机常见问题解决√学习单元第二章靶场环境搭建实验学时2学时学习目标理解靶场环境的作用，学习如何搭建靶场环境。学会安装常见的靶场应用（如DVWA、Pikachu）掌握靶场环境的配置，包括Web服务器和数据库的配置学习内容知识点了解掌握重点难点靶场环境的基本概念√DVWA等靶场环境搭建√状态码及其含义√数据库与Web服务器配置√环境调试与问题解决√学习单元第三章信息收集实验学时2学时学习目标掌握信息收集的常见工具和方法理解如何从公开信息中提取有效情报，为漏洞挖掘提供支持学习内容知识点了解掌握重点难点信息收集基本概念√信息收集的常用方法√学习单元第四章信息泄露实验学时2学时学习目标了解信息泄露的常见类型（源码泄露、错误信息泄露等）学习如何检测Web应用中的信息泄露漏洞掌握防止信息泄露的基本策略，如配置错误处理和代码审查学习内容知识点了解掌握重点难点信息泄露基本概念√错误信息泄露√源码泄露√配置错误与文件泄露√信息泄露的防范√学习单元第五章防火墙、入侵检测系统与蜜罐实验学时3学时学习目标理解防火墙、入侵检测系统（IDS）与蜜罐的基本原理学会配置Web应用防火墙（WAF）、IDS和蜜罐学习内容知识点了解掌握重点难点防火墙原理与配置√IDS系统工作原理与配置√蜜罐技术与配置√学习单元第六章SQL注入漏洞实验学时3学时学习目标理解SQL注入漏洞的原理及常见类型（盲注、错误注入、联合注入等）学会利用SQL注入漏洞攻击Web应用学习内容知识点了解掌握重点难点SQL注入基本原理√字符型注入与数字型注入√UNIONSELECT联合注入√堆叠注入√报错注入√SQL盲注√SQL注入绕过√SQLMap√学习单元第七章远程代码执行漏洞实验学时2学时学习目标理解远程代码执行漏洞的工作原理和攻击方式学会通过文件上传、命令注入等方式利用RCE漏洞学习防止远程代码执行漏洞的措施，如文件类型限制和命令执行控制学习内容知识点了解掌握重点难点远程代码执行漏洞原理与攻击方式√字符串拼接绕过√编码绕过√动态函数造成远程代码执行漏洞√常用于代码执行的语言结构和函数√学习单元第八章远程命令执行漏洞实验学时2学时学习目标了解远程命令执行漏洞的原理与攻击方法掌握反弹Shell和命令注入等攻击技术学习如何通过安全配置和编码防护避免远程命令执行漏洞学习内容知识点了解掌握重点难点远程命令执行漏洞原理与攻击方式√反弹Shell√写入Webshell√绕过空格过滤√绕过关键字过滤√学习单元第九章文件上传漏洞实验学时2学时学习目标理解文件上传漏洞的工作原理与风险学会通过不安全的文件上传获得远程执行权限掌握防止文件上传漏洞的技术，包括文件类型验证、MIME类型检测等学习内容知识点了解掌握重点难点远程命令执行漏洞简介√命令执行的利用方式√命令执行的绕过√命令执行的防御√学习单元第十章文件上传漏洞学时2学时学习目标了解文件上传漏洞原理掌握Web服务器解析漏洞掌握绕过技术理解防御措施学习内容知识点了解掌握重点难点IIS解析漏洞√Apache解析漏洞√Nginx解析漏洞√文件上传漏洞绕过√学习单元第十一章文件包含漏洞实验学时2学时学习目标理解文件包含漏洞（LFI/RFI）的工作原理及攻击方式掌握如何利用文件包含漏洞读取敏感文件学会防止文件包含漏洞的技术，如路径限制、文件扩展名验证等学习内容知识点了解掌握重点难点本地文件包含（LFI）漏洞√远程文件包含（RFI）漏洞√包含敏感文件√包含上传文件√包含日志文件√包含Session文件√文件包含漏洞绕过√学习单元第十二章XSS漏洞学时3学时学习目标了解XSS漏洞的类型（存储型、反射型、DOM型）掌握利用XSS攻击窃取用户数据及执行恶意操作的技术学习如何防止XSS漏洞，如输入输出过滤、CSP等学习内容知识点了解掌握重点难点反射型XSS√存储型XSS√DOM型XSS√盗取Cookie√网络钓鱼√窃取客户端信息√XSS漏洞绕过√学习单元第十三章SSRF漏洞学时2学时学习目标理解SSRF漏洞的原理及攻击方式学会如何利用SSRF漏洞攻击目标服务器，获取敏感信息学习内容知识点了解掌握重点难点有回显的SSRF漏洞√无回显的SSRF漏洞√探测内网信息√读取敏感文件√攻击内网服务√SSRF漏洞绕过√学习单元第十四章反序列化漏洞学时2学时学习目标理解反序列化漏洞的工作原理及攻击方式学会通过反序列化漏洞执行恶意代码掌握魔术方法与POP链构造学习内容知识点了解掌握重点难点POP链的构造√反序列化漏洞示例√PHP原生类利用√Phar反序列化√绕过针对__wakeup()方法的防御机制√绕过正则表达式检测√学习单元第十五章权限控制与越权攻击实验学时2学时学习目标了解权限控制漏洞的工作原理，掌握如何通过权限控制漏洞进行攻击学会识别并修复未授权访问、水平越权和垂直越权漏洞理解防御措施学习内容知识点了解掌握重点难点未授权访问√水平越权√垂直越权√暴力破解登录凭证√学习单元第十六章验证码绕过与密码重置漏洞实验学时3学时学习目标掌握验证码漏洞的类型与利用掌握密码重置漏洞的原理与利用理解防御措施学习内容知识点了解掌握重点难点验证码漏洞√验证码漏洞的防御√任意用户密码重置漏洞√任意用户密码重置漏洞的防御√以上共计36个理论学时。教学重点与难点：在《Web安全实践》课程中，教学重点主要集中在Web应用常见漏洞的原理、攻击方式及防护技术的掌握上。学生需要理解漏洞的产生原因及其对Web应用安全的潜在威胁，如SQL注入、XSS、RCE、SSRF等攻击方式。重点内容还包括学习如何通过具体的技术手段进行漏洞防护，例如输入验证、输出编码、使用Web应用防火墙（WAF）、限制文件上传类型等方法。课程的难点在于漏洞的实际利用和防护技术的灵活应用。学生可能在实现防护措施时遇到技术细节问题，如如何有效应用参数化查询防止SQL注入，如何设计健壮的权限控制机制以避免越权攻击，如何在复杂应用中有效实施CSP策略防范XSS攻击。此外，实际开发中如何在保证功能实现的同时确保系统安全，也是学生面临的挑战。因此，教师需注重通过具体案例分析与实践操作，帮助学生理解理论与实践之间的联系，解决他们在实施安全防护过程中遇到的困难。主要教学方式：本课程采用理论教学与实践指导相结合的方式。在课堂教学中，教师主要负责授课，同时应加强与学生之间的互动，鼓励学生提问并及时解答他们的疑问。在课后，通过编程实践、实验和小组讨论等形式，让学生主动参与，亲自实践所学知识。同时，教师将耐心指导学生完成各项作业任务，帮助其熟练掌握相关的安全技术和工具应用，