Web安全攻防实战教程 教案- - 第1-3章 Web安全概述（安全漏洞与协议基础）-XSS漏洞（防御措施与CSP）

《Web安全实战教程》-课程教案PAGE课程教学方案（教案）/学年第学期课程名称：Web安全实战教程任课教师姓名：授课班级：课程类别：课程归属院(系)：编制时间：年月日《Web安全实战教程》-课程教案PAGE68、Web安全概述教案一学习单元名称第1章Web安全概述（安全漏洞与协议基础）教学主题名称Web安全漏洞、OWASPTop10及TCP/IP、HTTP/HTTPS协议学习性工作任务(1)了解Web安全漏洞分类及OWASPTop10(2)理解TCP/IP及HTTP/HTTPS协议基本安全机制授课对象授课学时2授课时间授课地点学情分析学生具备计算机网络基础，但对Web安全体系及协议安全机制了解不系统。教学目标素质目标培养安全合规意识、协议安全意识知识目标1.掌握常见Web安全漏洞类型2.了解OWASPTop10（2025）核心内容3.理解TCP/IP与HTTP/HTTPS协议安全要点能力目标1.能识别常见Web漏洞类型2.能理解HTTPS加密基本机制教学重难点重点OWASPTop10发展缺失、HTTP/HTTPS协议差异难点HTTPS混合加密原理教学策略与方法讲授法、案例分析法、图示法、比较法、讨论法教学资源PPT课件、协议报文示例、加密过程动画

教学活动安排教学环节教学内容教师活动学生活动时间安排（分钟）课前准备PPT课件、协议报文示例、加密过程动画 发布预习材料阅读、记录疑问课前课中实施学习内容回顾通信协议相关知识讲授、提问回答问题5教学导入Web安全的重要性与典型案例案例引入、提问互动思考、发言5思政元素目前国内网络安全巨大进步讲授5任务一教学活动Web六大类漏洞简介OWASPTop10（2025）核心内容与案例讲解、案例演示、互动提问记录、参与讨论30任务二教学活动TCP/IP协议结构与安全意义HTTP协议特点与安全风险HTTPS加密机制（对称/非对称/混合加密）讲解、图示、动画演示操作实践40教学小结通过本单元的教学，学生掌握2025OWASPTop10排名，以及漏洞发展缺失。能理解HTTPS加密基本机制讲授5课后安排训练巩固抓包分析HTTP协议操作实践——拓展提升收集近几年Web重大安全事故及原因查找资料总结凝练教学反思教学效果：问题与改进：

教案二学习单元名称第1章Web安全概述（靶场部署与工具安装）教学主题名称CentOS环境部署、安全工具安装与靶场搭建学习性工作任务(1)完成CentOS虚拟机安装与配置(2)安装常用安全工具(3)部署Web安全靶场环境授课对象授课学时4授课时间授课地点学情分析

学生具备操作系统基础，但缺乏Linux环境部署与多工具集成配置的实践经验。教学目标素质目标培养动手能力、系统部署规范意识知识目标1.掌握CentOS虚拟机安装与网络配置方法2.理解常用安全工具的功能与安装流程能力目标1.能独立完成CentOS系统安装与基础配置2.能安装并配置XAMPP、Nmap、sqlmap等工具3.能部署至少2个Web安全靶场环境教学重难点重点CentOS安装、XAMPP配置、靶场部署难点多靶场环境冲突解决、网络与防火墙配置教学策略与方法实验演示法、任务驱动法、分组协作法教学资源VMware、CentOS镜像、工具安装包、实验手册

教学活动安排教学环节教学内容教师活动学生活动时间安排课前准备准备好CentOS镜像及相关靶场软件包提供资源清单与安装包资源准备实验环境课前课中实施学习内容回顾OWASPTop10与协议讲授、提问回答问题5教学导入实验环境规划、网络配置说明讲解、图示

记录、规划5任务一教学活动CentOS虚拟机安装•新建虚拟机、系统安装、网络配置、远程登录逐步演示、屏幕共享跟随操作、记录问题35任务二教学活动基础工具安装•XAMPP安装与启动•Nmap、sqlmapBurpSuite、BeEF安装讲授、示范操作实践45任务三教学活动靶场部署•sqli-labs部署与数据库配置•upload-labs•VAuditDemo•DVWA部署•Pikachu•Wiki后台系统讲授、示范操作实践85教学小结掌握靶场部署思路熟悉每个靶场功能靶场验证完成后，要拍快照和备份讲授5课后安排训练巩固学生独立完成靶场环境独立部署一遍操作实践——拓展提升查找不同类型、功能靶场还有哪些查找资料总结凝练操作实践教学反思教学效果：问题与改进：

教案三学习单元名称第1章Web安全概述（信息收集方法）教学主题名称Web信息收集技术与工具使用学习性工作任务(1)掌握WHOIS查询、子域名扫描方法(2)使用Nmap进行主机与端口扫描(3)了解后台扫描与指纹识别技术授课对象授课学时2授课时间授课地点学情分析学生对信息收集概念有初步了解，但缺乏系统化的工具使用与实践经验。教学目标素质目标培养信息搜集合规意识、分析能力知识目标1.理解信息收集在渗透测试中的意义2.掌握常见信息收集方法与工具能力目标1.能使用WHOIS、子域名扫描工具2.能使用Nmap进行基础扫描3.能理解后台扫描与指纹识别原理教学重难点重点Nmap扫描、子域名扫描、WHOIS查询难点扫描结果分析与信息关联教学策略与方法演示法、实操练习法、案例分析法教学资源在线查询网站、Nmap、子域名扫描工具、实验靶机

教学活动安排教学环节教学内容教师活动学生活动时间安排课前准备预习：信息收集的基本概念

发布预习材料资料检索课前预习课前课中实施学习内容回顾靶场部署思路，常见问题注意事项。案例引入、提问 思考、发言5教学导入•信息收集在渗透测试中的重要性讲授、视频演示分组讨论：对计算机操作系统的管理功能进行分类5思政元素国内目前在信息包含上的现状及进步讲授5任务一教学活动WHOIS查询与子域名扫描•WHOIS查询工具使用•子域名扫描工具演示在线演示、工具介绍跟随操作、记录结果30任务二教学活动Nmap扫描实践•主机发现、端口扫描、服务识别•扫描结果分析与报告演示命令、结果解读操作实践25任务三教学活动后台扫描与指纹识别简介•常见敏感目录与文件•CMS指纹识别原理简要讲解、工具展示记录工具名称与用途15教学小结通过本单元的教学，学生掌握信息收集、分析方法简要讲解5课后安排训练巩固对指定目标进行Nmap扫描并提交报告操作实践——拓展提升熟悉相似功能的其他工具查找资料总结凝练操作实践教学反思教学效果：问题与改进：

、SQL注入漏洞教案一学习单元名称第二章SQL注入漏洞（查询注入）教学主题名称SQL注入漏洞概述与查询注入学习性工作任务理解SQL注入漏洞的定义与危害掌握查询注入的原理与分类能够手动实现查询注入攻击与防御理解信息收集与拖库流程授课对象授课学时3授课时间授课地点学情分析学生已具备计算机网络、数据库原理、Web开发基础等知识，能够理解SQL语句基本结构和HTTP请求流程。教学目标素质目标安全意识、法律意识、责任意识知识目标理解SQL注入漏洞的定义、危害与分类掌握查询注入、报错注入、盲注等注入方式的原理了解信息收集、拖库流程与防御措施能力目标能够手动构造查询注入Payload能够使用信息收集方法获取数据库结构能够初步理解防御机制与WAF原理教学重难点重点查询注入原理、信息收集流程、防御措施难点查询注入的理解与实践教学策略与方法讲述法、演示法、实验法、小组讨论法、案例分析法教学资源PPT课件、VMWare虚拟机、SQL注入靶场环境、BurpSuite工具、sqlmap工具

教学活动安排教学环节教学内容教师活动学生活动时间安排课前准备预习SQL注入概念，验证靶场环境发布预习任务，提供资料资料检索课前预习课前课中实施学习内容回顾

信息收集与靶场部署注意事项讲授、提问

分组讨论：数据库在Web系统中的作用与风险5教学导入•SQL注入在Web安全中的重要性•OWASPTop10中注入漏洞的位置与危害讲授、视频演示分组讨论5思政元素国家在网络安全法律法规建设方面的进展与要求讲授5任务一教学活动查询注入原理与分类•数字型、字符型、搜索型注入•注入点判断（and1=1/1=2）讲授、示范跟随理解、记录原理30任务二教学活动手工注入实战：列数判断与联合查询•orderby判断列数•unionselect构造与执行讲授、示范操作实践45任务三教学活动信息提取与拖库操作•获取数据库名、表名、字段名•提取数据并整理报告讲授、示范操作实践35教学小结通过本单元的教学，学生掌握(1)查询注入的基本流程与手工方法简要讲解、提问反馈回答问题、总结步骤10课后安排训练巩固在sql-labs靶场完成1~3关注入练习操作实践——拓展提升寻找其它靶场sql查询注入实战查找资料总结凝练操作实践教学反思教学效果：问题与改进：

教案二学习单元名称第二章SQL注入漏洞（报错注入、布尔盲注、时间盲注）教学主题名称报错注入与盲注技术原理与实战学习性工作任务掌握报错注入原理与常用函数（updatexml、extractvalue）理解布尔盲注与时间盲注的区别与攻击流程能使用手工或脚本方式完成盲注测试授课对象授课学时4授课时间授课地点学情分析学生已掌握基本查询注入，对SQL语句执行机制有一定理解，但对报错和盲注这类"间接"注入方式缺乏实践经验。教学目标素质目标培养分析能力、耐心与逻辑推理能力知识目标1.掌握报错注入函数的使用与原理2.理解布尔盲注与时间盲注的判断机制3.熟悉盲注常用字符串函数（substr、length、ascii等）能力目标1.能利用报错注入提取数据库信息2.能编写盲注测试语句并判断结果3.能够在靶场顺利通关教学重难点重点报错注入函数使用、盲注判断逻辑难点报错注入和盲注的渗透分析和实践过程教学策略与方法讲述法、演示法、实验法、小组讨论法、案例分析法教学资源实验靶机（包含报错与盲注漏洞）、BurpSuite、PPT课件

教学活动安排教学环节教学内容教师活动学生活动时间安排课前准备准备盲注靶场环境（boolins.php、errins.php等）发布预习材料课前预习环境验证——课中实施学习内容回顾1.查询注入流程与常见问题讲授、提问回答问题5教学导入报错注入与盲注在实际渗透测试中的应用场景讲授、案例展示分组讨论：哪些场景无法使用查询注入？10思政元素网络安全防护中的"主动防御"与"被动响应"讲授、5任务一教学活动报错注入原理与函数使用•updatexml、extractvalue函数详解•报错注入点判断与利用讲解、代码演示跟随操作、记录语句60任务二教学活动布尔盲注原理与实战

•真/假页面判断

•substr、length等函数使用演示操作、工具辅助操作实践45任务三教学活动时间盲注原理与响应分析•if+sleep构造延时判断•使用BurpSuite分析响应时间讲授、示范操作实践45教学小结通过本单元的教学，学生掌握(1)报错注入与盲注的基本原理与攻击方法讲授参与讨论、总结10课后安排训练巩固学生独立完成靶场练习操作实践——拓展提升寻找其他靶场提升报错注入和盲注的渗透能力查找资料总结凝练操作实践教学反思教学效果：问题与改进：

教案三学习单元名称第二章SQL注入漏洞（二次注入、堆叠注入、宽字节注入、头部注入）教学主题名称高级注入技术与场景分析学习性工作任务(1)理解二次注入、堆叠注入、宽字节注入、头部注入的原理(2)掌握各类注入的攻击场景与利用方式(3)能复现至少两种高级注入攻击授课对象授课学时3授课时间授课地点学情分析学生已掌握基本SQL注入技术，对Web应用逻辑有一定理解，但对复杂注入场景和编码绕过缺乏系统认识。教学目标素质目标培养综合分析能力、场景化渗透思维知识目标1.理解二次注入的存储与触发机制2.掌握堆叠注入的多语句执行原理3.了解宽字节编码与头部注入的攻击面能力目标1.能复现二次注入攻击流程2.能利用堆叠注入执行多语句操作3.能理解并演示宽字节注入绕过机制教学重难点重点二次注入、堆叠注入难点宽字节编码理解与头部注入的抓包构造教学策略与方法讲述法、演示法、实验法、小组讨论法、案例分析法教学资源实验靶场、BurpSuite、HackBar、MySQL客户端、PPT课件

教学活动安排教学环节教学内容教师活动学生活动时间安排课前准备准备相关靶场环境（doubleins、stackins等）发布预习材料资料检索课前预习

环境验证——课中实施学习内容回顾报错注入与盲注的区别与应用场景讲授、提问回答问题5教学导入高级注入技术在实战中的重要性讲授、视频演示分组讨论：除了基本注入，还有哪些攻击方式？5思政元素网络安全中的"攻击面"管理与风险防范讲授、视频演示5任务一教学活动二次注入原理与实战•注册+修改密码场景复现•存储型漏洞利用分析讲授、示范跟随操作、理解流程30任务二教学活动堆叠注入与宽字节注入•多语句执行原理•GBK编码绕过机制讲授、示范操作实践45任务三教学活动头部注入原理与BurpSuite实战•HTTP头部攻击面分析•抓包构造与修改讲授、示范操作实践40教学小结通过本单元的教学，学生掌握四类高级注入的特点防御思路对比分析、提问参与讨论、总结5课后安排训练巩固学生独立完成靶场实战操作实践——拓展提升在其他靶场，进行注入实战。查找资料总结凝练操作实践教学反思教学效果：问题与改进：

教案四学习单元名称第二章SQL注入漏洞（防御措施与自动化工具）教学主题名称SQL注入防御策略与sqlmap自动化测试学习性工作任务(1)掌握SQL注入的常见防御方法

(2)能使用sqlmap进行自动化注入测试

(3)了解Tamper脚本的基本作用与使用授课对象授课学时2授课时间授课地点学情分析学生已掌握各类SQL注入技术，了解攻击原理，但对防御措施和自动化测试工具缺乏系统了解。教学目标素质目标培养防护意识、工具规范使用与合规测试意识知识目标1.掌握输入验证、参数化查询、最小权限等防御措施2.理解sqlmap常用参数与功能模块3.了解Tamper脚本的作用与常见类型能力目标1.能使用sqlmap完成从检测到拖库的全流程测试2.能使用Tamper脚本绕过简单过滤规则3.能对系统提出基础的SQL注入防护建议教学重难点重点sqlmap工具使用、参数化查询防御难点Tamper脚本编写与WAF绕过策略教学策略与方法讲述法、演示法、实验法、小组讨论法、案例分析法教学资源sqlmap工具、实验靶场、Tamper脚本示例、PPT课件

教学活动安排教学环节教学内容教师活动学生活动时间安排课前准备预习sqlmap基本命令与防御措施发布预习材料资料检索课前预习——课中实施学习内容回顾各类SQL注入技术的特点对比讲授、提问回答问题5教学导入自动化测试在安全评估中的重要性讲授、视频演示分组讨论：手动测试与自动化测试的优劣5思政元素网络安全防护的责任与义务讲授、视频演示5任务一教学活动sqlmap工具使用详解•基本检测与信息提取•等级设置与Cookie携带讲授、示范跟随操作、记录结果30任务二教学活动Tamper脚本简介与使用演示

•常见Tamper脚本功能

•简单脚本调用演示讲授、示范操作实践40教学小结通过本单元的教学，学生掌握

(1)sqlmap常用流程与防御建议提问、梳理参与讨论、总结5课后安排训练巩固使用sqlmap对sqli-labs完成一次完整测试并提交报告操作实践——拓展提升使用sqlmap在其他靶场进行渗透查找资料总结凝练操作实践教学反思教学效果：问题与改进：

、XSS漏洞教案一学习单元名称第三章XSS漏洞（存储型与反射型）教学主题名称XSS漏洞概述、存储型与反射型XSS原理与实战学习性工作任务(1)理解XSS漏洞概念、分类与危害(2)掌握存储型XSS漏洞的原理、攻击方式与案例分析(3)掌握反射型XSS漏洞的原理、攻击流程与利用方法(4)能够手动构造和利用存储型、反射型XSS漏洞授课对象授课学时3授课时间授课地点学情分析学生已掌握SQL注入原理，具备基础的Web开发知识和JavaScript理解能力，但对客户端脚本攻击缺乏系统性认识和实践经验。教学目标素质目标培养安全意识、隐私保护意识、合法合规使用安全技术知识目标1.理解XSS漏洞在OWASPTop10中的地位与危害2.掌握存储型XSS的持久性攻击特点与利用场景3.掌握反射型XSS的非持久性攻击特点与钓鱼场景能力目标1.能够识别存储型和反射型XSS漏洞点

2.能够手动构造恶意脚本进行DDoS、Cookie窃取等攻击

3.能够通过代码审计分析漏洞成因教学重难点重点存储型XSS漏洞原理、反射型XSS攻击流程难点恶意JavaScript脚本构造、攻击场景与实际危害理解教学策略与方法讲授法、案例分析法、演示法、实验操作法、小组讨论法教学资源PPT课件、DVWA/XSS靶场环境、Firefox浏览器、HackBar插件、BurpSuite工具

教学活动安排教学环节教学内容教师活动学生活动时间安排课前准备准备DVWA靶场并设置安全级别为Low发布预习材料资料检索课前预习检验靶场环境——课中实施学习内容回顾SQL注入漏洞攻击与防御要点讲授、提问思考、发言5教学导入•XSS漏洞在Web安全中的普遍性与危害•典型案例分析（如窃取Cookie、会话劫持）讲授、视频演示

分组讨论：Web应用中哪些功能点可能引入XSS风险？10思政元素网络安全法中关于公民个人信息保护的规定与意义讲授、视频演示听讲、思考5任务一教学活动

存储型XSS漏洞原理与实战

•存储型XSS特点与持久性危害

•利用留言板/新闻系统注入恶意脚本

•构造DDoS攻击脚本并演示讲解原理、代码分析、逐步演示攻击流程跟随理解、记录步骤、在DVWA中复现存储型XSS攻击55任务二教学活动反射型XSS漏洞原理与实战•反射型XSS特点与钓鱼攻击场景•利用URL参数注入恶意脚本•窃取用户Cookie数据演示演示攻击构造、抓包分析、结果解读操作实践、构造恶意URL、分析窃取的Cookie数据55教学小结通过本单元教学，学生掌握：

(1)存储型与反射型XSS的原理、区别与攻击方法简要总结、提问反馈回答问题、对比两类XSS特点5课后安排训练巩固在DVWA靶场中分别完成存储型XSS（Stored）和反射型XSS（Reflected）漏洞的利用练习，并提交实验报告操作实践——拓展提升研究现实生产环境中的XSS攻击案例（如大型网站漏洞报告）查找资料总结凝练操作实践教学反思教学效果：问题与改进：

教案二学习单元名称第三章XSS漏洞（DOM型XSS与BeEF框架）教学主题名称DOM型XSS原理、BeEF渗透测试框架使用学习性工作任务(1)理解DOM型XSS漏洞原理、特点及其与服务器无关的特性

(2)掌握BeEF框架的基本原理、模块功能与使用方法

(3)能够利用BeEF进行浏览器劫持、信息窃取与社工攻击

(4)能够分析DOM型XSS的客户端代码漏洞授课对象授课学时4授课时间授课地点学情分析学生已了解存储型和反射型XSS，具备JavaScript基础，但对客户端DOM操作安全风险认识不足，缺乏自动化渗透测试工具使用经验。教学目标素质目标培养深度分析能力、工具规范使用意识、对抗高级威胁的认识知识目标1.掌握DOM型XSS的客户端触发原理与隐蔽性

2.理解BeEF框架的“钩子”机制与浏览器控制原理

3.了解社工攻击、会话劫持等高级攻击手法能力目标1.能够构造并利用DOM型XSS漏洞

2.能够部署并使用BeEF进行浏览器劫持

3.能够使用BeEF模块获取信息、重定向页面、实施社工弹窗教学重难点重点DOM型XSS原理、BeEF框架使用与命令模块难点DOM树操作与脚本注入理解、BeEF的实战场景应用教学策略与方法案例教学法、工具演示法、实验操作法、攻防对抗演练教学资源DVWA靶场、BeEF、BeEF框架、PPT课件、实验手册

教学活动安排教学环节教学内容教师活动学生活动时间安排课前准备预习、准备靶场环境资料检索网上发布作业资料检索资料检索课前预习检查环境——课中实施学习内容回顾存储型与反射型XSS的攻击流程与区别提问、对比分析回答问题5教学导入•DOM型XSS的独特之处与检测难点

•自动化渗透测试框架的价值与BeEF简介讲授、视频演示组讨论：客户端安全与服务器端安全的差异10思政元素技术创新与安全伦理——渗透测试工具的合法合规使用边界讲授、视频演示听讲、参与讨论5任务一教学活动DOM型XSS漏洞原理与实战

•DOM树概念与客户端脚本动态修改

•构造恶意输入闭合HTML标签

•利用DVWA靶场进行DOM型XSS攻击讲授、示范跟随操作、分析xssdom.php代码、复现攻击70任务二教学活动

BeEF框架使用

•BeEF原理与hook.js钩子脚本

•登录控制台与“OnlineBrowsers”管理

•使用练习页面体验浏览器劫持

•使用Commands模块：GetCookie、ReplaceHREFS、RedirectBrowser

•SocialEngineering模块：PrettyTheft社工弹窗

•实战：利用BeEF劫持DVWA会话并窃取Cookie讲授、示范操作实践85教学小结DOM型XSS的攻击原理与BeEF框架的基本渗透流程总结要点、强调工具使用的合法性与规范性5课后安排训练巩固独立完成DVWA中DOM型XSS攻击，并使用BeEF成功获取靶机Cookie，提交详细过程报告操作实践、撰写报告——拓展提升研究BeEF其他模块（如XssRays、Network）的功能并尝试使用查找资料总结凝练操作实践教学反思教学效果：问题与改进：

教案三学习单元名称第三章XSS漏洞（防御措施与CSP）教学主题名称XSS漏洞防御技术、内容安全策略（CSP）配置与应用学习性工作任务(1)掌握XSS漏洞的常见防御方法与最佳实践

(2)理解内容安全策略（CSP）的原理、配置指令与作用

(3)能够配置并启用CSP，理解报告机制

(4)能够通过CSP实战验证策略效果授课对象授课学时3授课时间授课地点学情分析学生已掌握各类XSS攻击原理，具备一定的漏洞利用能力，但对如何有效防御XS