C/C++安全编码 培训

本次由讲师主导的培训在中国（线上或线下）面向希望使用高级C++编程技术开发复杂、安全和高性能系统与应用程序的开发者。

培训结束后，参与者将能够：

• 搭建包含所有C++库、包和框架的开发环境。
• 理解C++的特性、组件和基本元素。
• 使用高级编程技术创建复杂的C++应用程序。
• 学习如何编写可读性强、快速且安全的C++代码。
• 了解C++语言中常见的安全隐患及其缓解方法。
• 实施代码质量和安全控制的测试策略。
• 使用C++开发中的诊断和调试工具。

实现安全的网络应用颇具挑战性，即使开发者此前已使用过各类密码学构建模块（如加密和数字签名）。为使参与者理解这些密码学原语的作用和用法，课程首先介绍安全通信的主要需求——安全确认、完整性、机密性、远程识别和匿名性。同时展示可能破坏这些需求的典型问题及其现实解决方案。

网络安全的核心方面是密码学。因此，课程重点讨论对称加密、哈希、非对称加密和密钥协商中最重要的算法。课程不深入探讨数学背景，而是从开发者视角进行分析，展示典型用例示例以及与使用加密技术相关的实际考量因素，例如公钥基础设施。此外，还介绍了许多安全通信领域的安全协议，并深入探讨了应用最广泛的协议族，如 IPSEC 和 SSL/TLS。

课程还讨论了与特定密码算法及密码协议相关的主流crypto弱点，包括 BEAST、CRIME、TIME、BREACH、FREAK、Logjam、Padding oracle、Lucky Thirteen、POODLE 等，以及 RSA 计时攻击。针对每种问题，均描述实际考量因素和潜在后果，而不涉及深层数学细节。

最后，鉴于 XML 技术在网络应用的数据交换中占据核心地位，课程阐述了 XML 的安全方面。内容包括在 Web 服务和 SOAP 消息中使用 XML 的方法，以及 XML Signature（XML 签名）和 XML Encryption（XML 加密）等保护措施；同时还介绍了这些保护措施的弱点，以及 XML 特有的安全问题，如 XML 注入、XML 外部实体 (XXE) 攻击、XML 炸弹和 XPath 注入。

参加本课程的参与者将

• 理解安全、IT 安全和安全编码的基本概念
• 理解安全通信的需求
• 学习不同 OSI 层级上的网络攻击与防御
• 掌握密码学的实用知识
• 理解关键安全协议
• 了解针对密码系统的最新攻击手段
• 获取关于近期相关漏洞的信息
• 理解 Web 服务的安全概念
• 获取有关安全编码实践的参考资料和延伸阅读

受众

开发者，专业人士

即使是有经验的Java程序员，也未必完全掌握Java提供的各种安全服务，同样可能不了解与Java编写的Web应用程序相关的各种漏洞。

本课程除了介绍标准Java版的安全组件外，还涉及Java企业版（JEE）和Web服务的安全问题。在讨论具体服务之前，课程会先讲解密码学和安全通信的基础知识。通过各种练习，参与者可以实践JEE中的声明式和编程式安全技术，同时讨论Web服务的传输层和端到端安全性。所有组件的使用将通过多个实际练习进行演示，参与者可以亲自尝试所讨论的API和工具。

课程还详细讲解并解释了Java语言和平台中最常见和最严重的编程缺陷，以及Web相关的漏洞。除了Java程序员常犯的典型错误外，课程还涵盖了特定于语言的问题和运行时环境引发的问题。所有漏洞和相关攻击都通过易于理解的练习进行演示，随后提供推荐的编码指南和可能的缓解技术。

参加本课程的学员将

• 了解安全、IT安全和安全编码的基本概念
• 学习超越OWASP十大漏洞的Web漏洞，并了解如何避免它们
• 理解Web服务的安全概念
• 学习使用Java开发环境的各种安全功能
• 对密码学有实际的理解
• 理解Java EE的安全解决方案
• 了解典型的编码错误及其避免方法
• 获取有关Java框架中最新漏洞的信息
• 获得使用安全测试工具的实践经验
• 获取有关安全编码实践的参考资料和进一步阅读材料

受众

开发人员

如今，有多种编程语言可用于将代码编译到.NET和ASP.NET框架。该环境为安全开发提供了强大的工具，但开发人员需要了解如何应用架构和代码级的编程技术，以实现所需的安全功能，并避免漏洞或限制其利用。

本课程旨在通过大量实践练习，教会开发人员如何防止不受信任的代码执行特权操作，通过强身份验证和授权保护资源，提供远程过程调用，处理会话，为某些功能引入不同的实现方式等。

不同漏洞的介绍从展示使用.NET时常见的一些典型编程问题开始，而ASP.NET漏洞的讨论还涉及各种环境设置及其影响。最后，ASP.NET特定漏洞的主题不仅涉及一些常见的Web应用安全挑战，还涉及特殊问题和攻击方法，如攻击ViewState或字符串终止攻击。

参加本课程的学员将

• 了解安全、IT安全和安全编码的基本概念
• 学习OWASP Top Ten之外的Web漏洞，并了解如何避免它们
• 学习使用.NET开发环境的各种安全功能
• 获得使用安全测试工具的实践经验
• 了解典型的编码错误及如何避免它们
• 获取一些最近的.NET和ASP.NET漏洞信息
• 获取安全编码实践的参考资料和进一步阅读材料

目标受众

开发人员

本课程为PHP开发者提供 essential 技能，帮助其构建抵御现代互联网攻击的健壮应用。课程通过基于PHP的案例讲解Web漏洞，内容超越OWASP十大安全风险，涵盖各类注入攻击、脚本注入、针对PHP会话处理的攻击、不安全的直接对象引用、文件上传安全问题等。PHP相关漏洞被归类为以下几类标准脆弱性：缺失或不正确的输入验证、错误与异常处理不当、安全特性误用以及时序与状态相关问题。后者包括open_basedir绕过拒绝服务攻击（如魔术浮点数利用）以及哈希表碰撞攻击。在所有案例中，参与者将掌握应对上述风险所需的关键技术与函数。

课程特别关注客户端安全，解决JavaScript、Ajax和HTML5的安全问题。此外还介绍了PHP相关的多种安全扩展库，包括用于加密的hash、mcrypt和OpenSSL，以及用于输入验证的Ctype、ext/filter和HTML Purifier。课程还将结合PHP配置（设置php.ini）、Apache及一般服务器环境，提供最佳加固实践指南。最后，课程将介绍开发者与测试人员可用的多种安全测试工具与技术，包括漏洞扫描器、渗透测试与利用包、嗅探器、代理服务器、模糊测试工具及静态源代码分析器。

无论是漏洞讲解还是配置实践，课程均辅以大量动手实验，演示成功攻击的后果，展示如何应用缓解技术，并介绍各类扩展库和工具的使用。

参与本课程的学习者将

• 理解安全、IT安全及安全编码的基本概念
• 了解OWASP Top Ten之外的Web漏洞，并掌握如何规避它们
• 学习客户端漏洞与安全编码实践
• 具备密码学的实践理解能力
• 学会使用PHP的各种安全特性
• 了解常见的编码错误及其规避方法
• 获知PHP框架近期的安全漏洞信息
• 获得使用安全测试工具的实践经验
• 获取安全编码实践相关的源码及延伸阅读资料

目标受众

开发者

综合 SDL 核心培训通过 Microsoft 安全开发生命周期 (SDL) 深入介绍了安全软件设计、开发和测试。它提供了 SDL 基础构建模块的 100 级概述，随后介绍了在开发过程的早期阶段应用的设计技术，以检测和修复缺陷。

在处理开发阶段时，本课程概述了托管代码和本机代码中典型的安全相关编程错误。通过一系列实践练习，参与者可以了解所讨论漏洞的攻击方法以及相关的缓解技术，体验实时黑客攻击的乐趣。介绍不同的安全测试方法后，演示了各种测试工具的有效性。参与者可以通过将工具应用于已讨论的易受攻击的代码，了解这些工具的操作。

参与者将了解

安全、IT 安全和安全编码的基本概念

熟悉 Microsoft 安全开发生命周期的关键步骤

学习安全设计和开发实践

了解安全实施原则

理解安全测试方法论

• 获取安全编码实践的来源和进一步阅读材料

受众

开发人员、经理

C++是否适用于微控制器和实时操作系统等嵌入式系统？

在微控制器中应使用面向对象编程吗？

C++与硬件过于疏远，以致无法高效运行吗？

本节由讲师指导的实战课程解答上述问题。通过讨论和实践演示如何利用C++编写准确、可读性强且高效的嵌入式系统代码。学员将亲手构建示例嵌入式应用，实现理论与实践结合。

完成培训后，学员将能够：

• 掌握面向对象建模、嵌入式软件编程和实时编程原理
• 编写体积小、速度快、安全性高的嵌入式系统代码
• 避免模板、异常及其他语言特性导致代码膨胀
• 理解在安全关键及实时系统中使用C++的相关问题
• 在目标设备上调试C++程序

受众对象

• 开发人员
• 设计师

课程形式

• 部分授课，部分讨论，练习为主，强化动手实践

这是一个为期2天的课程，旨在帮助C++程式设计师在他们的产业中应用新的C++11标准。对于金融应用程式开发者来说尤其有用，课程涵盖所有新功能，并提供在实验室中执行的程式码范例。

此讲师主导的现场直播培训在中国（线上或线下）举办，旨在帮助希望利用CUDA来加速应用程序、编写高性能GPU内核并利用并行算法库进行科学计算、数据处理及机器学习工作的C++开发者。

在这个讲师指导的培训课程中，学员将学习如何制定适当的安全策略，以应对DevOps安全挑战。

EC-Council Certified DevSecOps Engineer (ECDE) 是一门实作课程，旨在让专业人员掌握在 DevOps 生命周期中嵌入安全性的技能，从而实现从规划到部署的安全软件开发。

这门由讲师主导的培训（线上或线下）针对中级软件和 DevOps 专业人员，他们希望将安全实践整合到 CI/CD 管道中，确保代码的安全合规交付。

在培训结束时，参与者将能够：

• 理解 DevSecOps 的原则与实践。
• 使用自动化工具保护 CI/CD 管道的每个阶段。
• 实施安全编码实践与漏洞扫描。
• 通过实作实验室与复习，为 ECDE 认证做好准备。

课程形式

• 互动式讲座与讨论。
• 在模拟管道中实作使用 DevSecOps 工具。
• 专注于安全开发与部署的指导练习。

课程定制选项

• 如需根据您团队的工作流程或工具链定制此课程的培训，请联系我们安排。

本培训旨在介绍 C++ 作为在应用物件导向嵌入式系统开发时 C 语言的常见扩展。由于 C++ 包含了 C 语言，本培训将以自然的方式带您从 C 语言过渡到 C++，并深入探讨 C++ 的实现细节。这对于在资源有限的嵌入式环境中应用 C++ 时尤其有价值。C++ 标准最近正在进行重大修订，即 C++11，并且新的 C++14 也即将推出。本课程将涵盖这些修订中引入的主题，这些主题特别有用，例如高效能记忆体管理、利用多核心环境的并行处理，以及接近硬体的裸机编程。

目标/收益

本课程的主要目标是使您能够以“正确的方式”使用 C++。

• 介绍 C++ 作为嵌入式系统环境中的物件导向语言替代方案
• 展示与 C 语言的相似之处与差异
• 理解不同的记忆体管理策略——特别是 C++11 引入的移动语义
• 深入探讨并理解 C++ 中不同范式在机器码中的表现
• 使用模板实现类型安全的高阶抽象，用于接近硬体的裸机编程——记忆体映射 I/O 以及中断处理——特别是 C++11 引入的可变模板
• 提供一些特别适用于嵌入式环境的设计模式
• 通过一些练习来实践某些概念

观众/参与者

本培训面向 C++- 打算在嵌入式系统环境中开始使用 C++ 的程序员。

以前的知识

该课程需要 C++ 编程的基本知识，对应于我们的培训“C++ – 1 级”和“C++ 2 级 – 介绍 C++11”。

实践练习

在培训期间，您将在许多练习中练习所呈现的概念。我们将使用 Eclipse 开放且免费的集成开发环境

本课程在中国旨在帮助以下方面：

1. 帮助开发者掌握撰写安全编码的技巧
2. 帮助软体测试人员在应用程式发布到生产环境之前测试其安全性
3. 帮助软体架构师了解应用程式周围的风险
4. 帮助团队领导者为开发者设定安全基准
5. 帮助网站管理员配置伺服器以避免错误配置

本课程通过Open Web Application Security Project (OWASP) 的测试方法，涵盖Java的安全编码概念和原则。Open Web Application Security Project是一个线上社区，致力于创建免费的文章、方法论、文档、工具和技术，专注于Web应用安全领域。

本课程涵盖使用 ASP.NET 的安全编码概念和原则。Open Web Application Security Project (OWASP) 是一个在线社区，它提供免费的 web 应用安全知识文章、方法论、文档、工具和技术。

本课程探讨了 .NET Framework 的安全功能以及如何保护 web 应用程序的安全。