感谢您发送咨询！我们的团队成员将很快与您联系。
感谢您发送预订！我们的团队成员将很快与您联系。
课程时长 21 小时
课程大纲
Burp Suite Professional 在 IT 审计流程中的应用
- 工具在计划、现场工作和报告中的角色
- 手动验证与自动化扫描的区别
- 交战规则与测试授权
工作区配置、范围定义与流量捕获
- 代理、浏览器和 TLS 设置
- 范围规则与范围外保护
- 用于证据的项目文件与会话处理
HTTP/HTTPS 流量分析与应用程序映射
- 请求和响应结构、标头及 Cookie
- 站点地图、内容发现及隐藏端点
- API 和 JSON 流量审查
安全配置与传输控制验证
- 标头、Cookie 和 CORS 配置审查
- TLS 设置、HTTP 方法及错误披露
- 与既定配置基线的对比
认证控制测试
- 登录、MFA 及凭据策略行为
- 会话令牌、固定及注销处理
- 令牌和 JWT 验证弱点
授权与访问控制测试
- 跨角色的横向和纵向权限测试
- 不安全的直接对象引用和强制浏览
- 角色矩阵证据及并列比较
注入、输入处理与带外验证
- 无破坏性负载的注入确认
- 跨站脚本及客户端 sink 测试
- 使用 Collaborator 的盲注和带外案例
业务逻辑与工作流测试
- 多步骤工作流及顺序强制执行
- 价格、数量及审批参数篡改
- 重放、竞态条件及重复操作滥用
扫描器辅助覆盖、扩展与 AI 辅助
- 针对范围覆盖的爬取和审计配置
- 问题分类及误报验证
- 使用 BChecks 和扩展的自定义检查
- Burp AI 及具有数据处理限制的代理测试
证据收集与审计文档
- 带时间戳的请求和响应证据
- 敏感数据编辑及证据处理
- 将发现映射到 OWASP Top 10:2025、WSTG 和 CWE
- 基于 CVSS v4.0 和审计标准的风险评级
结业项目：端到端 Web 应用控制评估
- 对培训应用程序的范围评估
- 工作底稿、发现登记册及结案复盘
要求
- 具备 IT 审计和 IT 安全评估经验
- 熟悉技术风险、安全控制和网络协议
- 了解 HTTP/HTTPS 和 OWASP 框架
- 基础至中级使用 Web 安全测试工具（如 Kali Linux 和 OWASP ZAP）的经验
目标受众
- 高级和中级 IT 审计师
- 技术风险和安全控制评估师
客户评论 (2)
这次培训帮助我扩展了对Burp Suite的认知和理解。我也意识到，通过自学掌握的内容仍然相当有限。作为一名QA，这次培训对我非常有帮助，因为Burp Suite是执行安全测试和提升应用测试整体质量的重要工具。我会继续探索这个工具，并深入学习它的功能和特性。
Rea Mendez - BAKAWAN Data Anallytics Inc.
课程 - OWASP Top 10 2025
机器翻译
我非常喜欢学习关于AI攻击的内容，以及那些可以开始实践并积极用于安全测试的工具。我学到了很多之前不了解的知识，课程也达到了我的期望。培训中我最喜欢的部分是Comet Browser，它的功能让我感到惊叹。这绝对是我会进一步研究的内容。总体来说，这是一门很棒的课程，我很享受学习所有OWASP GenAI Top 10的内容。
Patrick Collins - Optum
课程 - OWASP GenAI Security
机器翻译
