资源介绍
视频数量：24个
总时长：1小时40分
课程介绍：
网页应用安全测试与漏洞评估
登录页面弹出“密码错误”，攻击者却能靠这句话确认某个账号确实存在；结算页面只改一个订单编号，就可能看到他人的资料。网页安全问题很少只藏在一个按钮背后，它往往出现在请求怎样流动、身份怎样延续、权限在哪里失效，以及业务规则怎样被绕开。这门24个视频、总时长1小时40分钟的课程，会带你看清网页应用的通信链路，再用系统化方法寻找、验证并说明风险，最终把零散发现整理成一份可用于修复和复测的专业报告。
一、先弄懂网页应用怎样运转：
安全测试不能只盯着页面上的输入框。第一部分从表示层、应用处理层和数据存储层讲起，再落到浏览器、移动前端与后端服务器之间的请求和响应。课程会反复强调一个关键前提：客户端提交的参数、请求头和Cookie都可能被修改，校验必须发生在可信的服务器端。学完这部分，你能识别系统边界、数据流和信任关系，也能读懂HTTP与HTTPS的差异，跟踪请求头、状态码及异常响应，不把“页面看起来正常”误当成通信过程没有问题。随后还会明确安全测试人员的职责与目标，并结合机密性、完整性和可用性，判断某个缺陷究竟会造成信息泄露、数据篡改，还是服务中断。
二、用标准和范围约束测试：
真正专业的测试不是随手点遍所有功能。第二部分对照OWASP WSTG、PTES和NIST SP 800-115，解释这些行业标准怎样组织测试活动、记录证据和形成结论。黑盒、白盒与灰盒三种方式也会放在同一场景下比较：黑盒侧重外部可见行为，白盒依靠源码和架构信息，灰盒则在有限内部知识下寻找验证路径。你还会学到如何写清测试范围、排除项、允许的操作、沟通规则和停止条件，并用威胁模型识别值得优先检查的入口。被动侦察重在收集公开信息，主动侦察则会对目标进行探测，两者在效率、可见度和风险上的差别也会讲清。课程尤其强调，只在获得明确授权的范围内开展主动测试。
三、追踪身份验证与会话状态：
这一部分从密码、多因素认证和OAuth的架构差异开始，分析常见设计缺陷。课程会通过用户名枚举、差异化错误提示、响应时间差、缺少服务端速率限制等例子，说明攻击者如何确认有效账户并批量尝试密码，还能判断密码重置与接口端点是否暴露类似风险。登录成功之后，焦点转向会话标识符、令牌、Cookie属性和过期机制。你会检查令牌是否足够随机且不可预测，Secure、HttpOnly和SameSite等标志是否正确配置，并理解会话劫持、会话固定和跨站请求伪造为何发生。重点不是背诵漏洞名称，而是从身份建立到状态延续的完整链条中，找到可被复现的验证路径。
四、找出权限控制和业务逻辑中的缺口：
网页应用最容易被忽视的问题，是页面和接口都要求登录，却没确认“这个人能不能看这条数据”。第四部分先讲安全授权原则，再对比基于角色与基于属性的访问控制。随后拆解BOLA与IDOR：攻击者把资源编号改成其他值，后端是否仍会返回内容；也会分析BFLA，也就是普通用户能否调用管理功能。课程还会把视角转向业务流程，例如跳过付款步骤、重复使用优惠条件、改变订单状态或绕过审批顺序。学到这些，你就不再只盯着跨站脚本和注入，而是能画出正常业务路径，再故意偏离它，观察系统是否守住每一步的业务约束。
五、验证输入处理与注入风险：
第五部分从输入校验、净化和输出编码的职责差异讲起，说明这些机制为什么不能互相替代。SQL注入部分会解释参数如何进入查询、不同注入形态怎样影响结果，以及采用参数化查询和服务端架构控制如何降低风险。跨站脚本部分覆盖反射型、存储型和基于DOM的类型，把恶意数据如何进入页面并触发脚本执行的过程讲透。课程还会介绍服务端请求伪造与XML外部实体风险，分析应用如何被诱使访问内部地址、读取本地资源或处理恶意XML。每一类问题都结合请求构造、响应证据和修复方向展开，让你在面对陌生系统时知道先看什么、再验证什么。
六、审视配置、加密并交付报告：
最后一部分把视线从代码拉到整个运行系统。安全错误配置和过时组件可能暴露管理接口、默认凭据、目录内容或已知漏洞；加密失效则要区分传输途中与静态存储中的数据，检查TLS使用、密钥管理和敏感信息保护方式。课程还会讲CVSS评分框架，帮助你依据攻击路径、影响范围和利用条件区分严重程度，而不是把所有发现都标成高危。报告部分则给出专业评估报告的结构，从执行摘要、范围说明、风险描述、复现步骤、证据、影响分析到修复建议与复测结果逐项展开。这样一来，技术发现才能被管理者读懂，也能让开发人员准确修复。
这套内容适合准备转向安全测试的开发和运维人员、负责产品上线前安全检查的测试工程师、需要开展授权评估的独立安全从业者，以及想补齐漏洞评估基础的应用安全学习者。课程不要求你一开始就掌握所有攻防术语，但需要具备基本的网页使用和命令行经验。完成24个视频后，你应能读懂请求与响应，依据标准划定测试边界，复现常见认证、授权和注入问题，并产出有证据、有影响说明、有修复方向的安全报告。