适合人群
- 希望掌握一套项目级方法、而不只是一堆 Payload 的初中级渗透测试工程师。
- 希望理解漏洞为何存在、并在报告中讲清影响的漏洞赏金猎人。
- 负责测试本公司应用的开发人员和应用安全工程师。
学完后您能做到
- 在书面授权、测试规则和测试计划的基础上，确定 Web 或 API 测试的范围。
- 同时从运行中的应用和源代码两个角度绘制攻击面。
- 用可重复的方法发现并确认身份认证、访问控制和多租户方面的缺陷。
- 在实验环境中利用服务端和浏览器端漏洞，并为线上系统选择安全的验证方式。
- 测试自动化扫描器无法建模的业务逻辑和竞态条件。
- 撰写包含影响、证据和修复建议的报告，并在打过补丁的版本上验证修复。
先修要求
- 理解 HTTP、Cookie、请求头，以及 Web 应用和 API 的工作原理。
- 使用过 Burp Suite 或 Caido，并完成过一些 Web 安全实验，例如 PortSwigger Web Security Academy 上的练习。
- 能阅读一些代码，会使用 Linux 和 Docker，并能够以英语学习。我们会先进行简短的水平评估。
课程大纲
八个模块，按照真实项目的顺序安排，并根据您的水平调整。
项目基础在发出第一个请求之前，先约定可以测试什么、如何测试。
- 书面授权与测试规则
- 确定应用、API、环境、账户和角色的范围
- 对照 OWASP WSTG 和 ASVS 制定测试计划
- 安全地处理证据和个人数据
信息收集与攻击面测绘从外部和代码两个方向，找出所有入口。
- 爬取结果与源代码中声明的路由相互对照
- OpenAPI 规范、GraphQL Schema 和 JavaScript 打包文件
- 角色 × 端点矩阵
- 决定优先测试哪些部分
身份认证与会话测试测试应用如何判断“您是谁”。
- 登录、多因素认证、密码重置和会话管理
- JWT、OAuth 和 OpenID Connect 缺陷
- 账户接管攻击链
- 在代码中确认根本原因
访问控制与多租户证明一个用户能否访问另一个用户的数据或功能。
- 针对 BOLA、IDOR 和 BFLA 的双账户测试法
- 权限提升与突破租户隔离
- 半自动化的授权检查
- 在源代码中找到缺失的检查
服务端注入与请求伪造攻击服务器，并清楚在线上系统中应止步于何处。
- SQL 注入、命令注入和模板注入
- SSRF、路径遍历、XXE 和不安全的反序列化
- 文件上传与解析器滥用
- 生产环境中的安全验证与实验环境中的完整利用
浏览器端漏洞测试应用允许攻击者在受害者浏览器中做些什么。
- 按上下文区分的 XSS，以及 CSP 能拦截和不能拦截的内容
- CSRF、CORS 和点击劫持
- postMessage 与客户端路由
- 负责任地展示影响
业务逻辑、竞态与 API 滥用打破产品的规则，而不只是它的解析器。
- 业务流程与状态滥用
- 额度、余额和优惠券中的竞态条件
- 批量赋值、速率限制和 Webhook
- 实践中的 OWASP API Security Top 10
影响、报告与复测把发现转化为决策，再确认修复是否到位。
- 串联多个发现并说明真实影响
- 结合 CVSS v4.0 和业务背景评定风险等级
- 可复现的证据和管理层摘要
- 在打过补丁的版本上验证修复
实操练习
模块实验
针对我为课程准备的应用进行实验，提供源代码，让您可以在根源处确认每一个发现。
双账户演练
可重复进行的访问控制和租户隔离测试练习，这正是真实应用中最常出问题的地方。
报告写作练习
简短的写作练习，把原始发现转化为开发人员和管理者都能据以行动的报告条目。
结业考核
一次完整的项目，从确定范围到复测
在限定时间内测试一个为课程开发的多角色 SaaS 应用，并可访问源代码。您需要编写范围说明和测试计划，完成测试、撰写报告，然后对打过补丁的版本进行复测。我们会一起复盘您的报告。
考核标准
- 范围和测试计划符合测试规则
- 覆盖身份认证、访问控制和业务逻辑
- 已确认、可复现的发现，风险等级评定合理
- 安全、适度的验证方式
- 开发人员和管理者都能据以行动的报告
- 对修复的准确复测
这门课程的不同之处
一位学员，一位讲师
您和我一起测试，每次课程都从您上次课后的新发现开始。
黑盒与白盒结合
您测试运行中的应用，并在源代码中确认每一个发现，这正是区分真实漏洞与巧合的方法。
完整的项目流程
范围确定、报告撰写和复测与漏洞利用一样都会教授和考核，并以我分析过的近期 CVE 作为案例。
使用的工具
标准与参考资料
- OWASP Web Security Testing Guide (WSTG)
- OWASP API Security Top 10
- OWASP Application Security Verification Standard (ASVS)
- NIST SP 800-115, Technical Guide to Information Security Testing
- FIRST CVSS v4.0
现在就能阅读的案例
关于本课程的问题
这是面向零基础的道德黑客课程吗？
不是。课程假定您已掌握 Web 安全基础。如果从零开始，PortSwigger Web Security Academy 等免费资源是合适的第一步；初始评估也会告诉您是否已经准备好学习本课程。
需要多长时间？
取决于您的起点水平以及课程之间可投入的时间。我们会在初始评估后制定计划，并根据您的进展随时调整。
需要 Burp Suite Professional 吗？
不需要。实验使用 Burp Suite Community 或 Caido 即可完成。如果某个 Professional 功能能节省时间，我会介绍免费的替代方案。
课程涉及网络或 Active Directory 吗？
不涉及。课程专注于 Web 应用和 API，这也是我自己从事测试的领域。
什么时候可以开始？
发一条简短的消息，说明您的水平和目标。我会在三天内回复，安排一次免费的 20 分钟水平评估通话，之后再商定您的学习计划和开课日期。
费用是多少？
每门课程 1,490 美元，包含约 10 次每次 90 分钟的一对一课程，以及实验、练习批改、结业考核和证书。两门课程合计 2,690 美元，单次 90 分钟课程 150 美元。
一对一培训是怎么进行的？
我们在线上进行直播课程。两次课程之间，您完成我根据您的水平布置的实验和练习，下次课上我们一起复盘结果。进度跟随您的学习情况，而不是固定的课表。
课程使用什么语言？
国际学员以英语授课。母语为阿拉伯语的学员可以选择阿拉伯语或英语；阿拉伯语课程会保留您在工具、报告和招聘信息中会看到的英文术语。
有线下课程吗？
没有。所有课程、实验、练习和反馈都在线上进行。
能拿到证书吗？
通过结业考核后，您将获得一份结业证书。证书由我本人颁发，并不是 OSWE 这类行业认证。雇主真正可以查看的，是您的工作成果本身：您的最终报告。
实操练习合法吗？
合法。所有实操内容都使用我为课程准备的应用，以及已发布安全公告的特定版本开源项目，并且都运行在您自己的电脑上。您永远不会去测试不属于您、或未获书面授权的系统。
如果我需要更多时间怎么办？
如果需要比计划更多的课时，每增加一次课程收费 150 美元，并会事先与您商定。
下一步
通过安全代码审计课程，深入掌握代码层面的技能。