CISP即“申請注冊信息安全*專家”，是經(jīng)我國信息安全商品評測*機構執(zhí)行國家驗證，意味著國家對信息安全工作人員資質(zhì)證書的*大認同；是相關信息安全公司，信息安全服務咨詢組織、信息安全評測**和受權評測組織、社會發(fā)展各機構、團隊、企事業(yè)單位相關信息管理系統(tǒng)基本建設、運作和程序管理的技術性單位和規(guī)范化單位必需的技術*職位工作人員，其基礎職責是對信息管理系統(tǒng)的安全性出示技術性確保，CISP嚴苛的驗證和學習培訓程序流程授予其具有技術*資質(zhì)證書和能力。現(xiàn)階段，中國各種安全性技術*服務中心都具有相對總數(shù)的CISP*專家。
申請注冊信息安全技術*工作人員-滲透測試，英語為CertifiedInformationSecurityProfessional-PenetrationTestEngineer，通稱CISP-PTE。資格證書擁有工作人員關鍵從業(yè)信息安全技術領域*滲透測試工作中，具備整體規(guī)劃測試報告撰寫新項目測試報告模板、撰寫測試計劃、檢測報告的基礎知識和能力。
該注冊考試是為了*地鍛練考生具體處理網(wǎng)絡信息安全難題的能力，合理提高在我國網(wǎng)絡信息安全防御能力，推動國家機關事業(yè)單位互聯(lián)網(wǎng)防御能力持續(xù)提升，以發(fā)覺優(yōu)秀人才，選撥高層次人才而開設的*技能水準考試
培訓目標：
考生應當可以了解和發(fā)覺這種系統(tǒng)漏洞，而且學好修補這種系統(tǒng)漏洞的方式 ，把握大量的安全生產(chǎn)技術
考生應掌握分布式數(shù)據(jù)庫的安全常識
考生應掌握電腦操作系統(tǒng)的安全性基本知識
考生應掌握數(shù)據(jù)庫查詢的安全性基本知識，這兒以Mssql,Mysql,Oracle,Redis數(shù)據(jù)庫查詢主導
根據(jù)以上內(nèi)容的學習培訓，規(guī)定考生能夠發(fā)覺和修補互聯(lián)網(wǎng)中的系統(tǒng)漏洞，把握大量的安全性*技能，提升本人的技術性能力。具有滲透測試技術工程師的素質(zhì)。
課程大綱：
| 知識類 | 章節(jié) | 考核標準及知識點 |
| 攻防基礎 | 考試介紹和課程安排 | |
| 培訓課件和場景準備 | （培訓中同步分發(fā)給學員） | |
| 攻防趨勢技術要點概覽 | 業(yè)界和國內(nèi)外重點和核心 | |
| 攻防滲透基礎 | 踩點掃描、漏洞發(fā)現(xiàn)等 | |
| 網(wǎng)絡安全 | 網(wǎng)絡安全概述 | 協(xié)議基礎和wireshark分析 |
| 網(wǎng)絡設備安全 | FW/IDS/WAF等 | |
| 網(wǎng)絡攻防命令 | Win/linux/路由交換等 | |
| 外網(wǎng)突破概述 | 介紹主要的幾個方法 | |
| 內(nèi)網(wǎng)滲透概述 | 簡述內(nèi)網(wǎng)滲透的技術 | |
| WEB 安全基礎 | HTTP 協(xié)議 | HTTP 協(xié)議基礎知識 |
| 注入漏洞 | SQL 注入的基礎知識 | |
| XML 實體注入基礎知識 | ||
| RFI 遠程文件包含漏洞的原理和修復方法 | ||
| LFI 本地文件包含漏洞的原理和修復方法 | ||
| RCE 遠程代碼執(zhí)行漏洞的原理和修復方法 | ||
| XSS 漏洞 | 存儲型 XSS 漏洞發(fā)現(xiàn)與防范 | |
| 反射型 XSS 漏洞發(fā)現(xiàn)與防范 | ||
| Dom 型 XSS 漏洞發(fā)現(xiàn)與防范 | ||
| CSRF 漏洞 | CSRF 跨站請求偽造漏洞的分析與利用 | |
| SSRF 漏洞 | SSRF 服務端請求偽造漏洞的分析與利用 | |
| 文件處理漏洞 | 任意文件上傳漏洞產(chǎn)生的原因與修復方法 | |
| 任意文件讀取漏洞產(chǎn)生的原因與修復方法 | ||
| 訪問控制漏洞 | 垂直越權漏洞的分析與利用 | |
| 水平越權漏洞的分析與利用 | ||
| 會話管理漏洞 | 會話固定漏洞的產(chǎn)生原因和防范 | |
| 會話劫持漏洞的產(chǎn)生原因和防范 | ||
| Cookie 欺騙漏洞的產(chǎn)生原因和防范 | ||
| 操作系統(tǒng)安全 | Windows 系統(tǒng)安全 | 賬戶密碼弱口令風險 |
| 賬戶的分組和權限 | ||
| NTFS 文件系統(tǒng)權限的設置 | ||
| Windows 日志的種類和審計方法 | ||
| 第三方應用和服務存在的漏洞 | ||
| Windows 權限提升方法 | ||
| Linux 系統(tǒng)安全 | 檢查用戶空口令的方法 | |
| 設置賬戶*失敗鎖定次數(shù)和時間 | ||
| 檢查除root以外的UID為0的用戶 | ||
| 查找系統(tǒng)中存在的 SUID 和 SGID 程序 | ||
| 查找任何人都有寫權限的目錄和文件 | ||
| 第三方應用和服務可能存在的漏洞 | ||
| Linux 權限提升方法 | ||
| 系統(tǒng)日志的分類和審計方法 | ||
| 中間件安全 | Apache | Apache 服務器權限配置 |
| Apache 服務器文件解析漏洞 | ||
| Apache 服務器日志審計方法 | ||
| Apache 服務器 Web 目錄權限的設置 | ||
| IIS | IIS6 文件解析漏洞利用 | |
| IIS6 寫權限漏洞的利用 | ||
| IIS6 短文件名漏洞 | ||
| IIS7 FastCGI 方式調(diào)用 PHP 存在的解析漏洞 | ||
| IIS 日志審計方法 | ||
| Tomcat | Tomcat 管理賬號密碼修改方法 | |
| Tomcat 通過后臺獲取權限的方法 | ||
| Tomcat 服務器啟動權限設置 | ||
| Tomcat 日志審計方法 | ||
| Weblogic | Weblogic 反序列化漏洞 | |
| Weblogic 管理后臺弱口令風險 | ||
| Weblogic 服務端請求偽造漏洞 | ||
| Weblogic 日志審計方法 | ||
| JBoss | JBoss 反序列化漏洞 | |
| JBoss jmx-console/web-console 未授權訪問 | ||
| JBoss jmx Invoker 遠程命令執(zhí)行 | ||
| JBoss 日志審計方法 | ||
| Websphere | Websphere 賬號管理授權 | |
| Websphere 反序列化漏洞 | ||
| Websphere 管理后臺弱口令風險 | ||
| Websphere 日志審計方法 | ||
| 數(shù)據(jù)庫安全 | Mssql 數(shù)據(jù)庫安全 | Mssql 數(shù)據(jù)庫的查詢語法 |
| Mssql 數(shù)據(jù)庫賬戶密碼存在弱口令的風險 | ||
| Mssql 數(shù)據(jù)庫服務器啟動權限的設置 | ||
| Mssql 數(shù)據(jù)庫的角色與權限的分配 | ||
| Mssql 數(shù)據(jù)庫中常用的存儲過程 | ||
| Mssql 數(shù)據(jù)庫備份和日志備份方法 | ||
| Mssql 存儲過程提權的方法 | ||
| Mysql 數(shù)據(jù)庫安全 | Mysql 數(shù)據(jù)庫的查詢語法 | |
| Mysql 賬戶密碼弱口令風險 | ||
| Mysql 創(chuàng)建用戶并指定數(shù)據(jù)庫授權 | ||
| Mysql 讀取文件和導出文件的方法 | ||
| Mysql 提權的方法 | ||
| Oracle 數(shù)據(jù)庫安全 | Oracle 數(shù)據(jù)庫的查詢語法 | |
| Oracle 數(shù)據(jù)庫執(zhí)行系統(tǒng)命令的方法 | ||
| Oracle 數(shù)據(jù)庫賬號權限的分配 | ||
| Oracle 數(shù)據(jù)庫賬號密碼策略配置 | ||
| Oracle 數(shù)據(jù)庫日志審計 | ||
| Redis 數(shù)據(jù)庫安全 | Redis 數(shù)據(jù)庫未授權訪問的危害 | |
| Redis 數(shù)據(jù)庫啟動權限的設置 | ||
| Redis 寫入文件的方法 | ||
| 綜合串講演練 | 前期課程總結 | 串聯(lián)思路和題型解讀 |
| 考試模擬（多套） | *熟悉考試流程和題眼 | |
| 考后復盤 | 針對技術缺陷和不足進行點評 | |
| 技術答疑 | 溫習重點和思路發(fā)散 |
地理位置 Location
