同济大学信息安全课件

同济大学信息安全课程第一章信息安全概述与思维信息安全的重要性万30%400100%年增长率美元损失防护覆盖全球网络攻击事件以超过30%的速度持续增长,单次数据泄露事件平均造成的经济损失,企业面信息安全需要全方位防护体系,没有绝对安全的威胁日益严峻临巨大风险系统计算机安全思维保密性完整性可用性Confidentiality IntegrityAvailability确保信息只能被授权用户访问,防止未经授权保证信息在存储和传输过程中不被篡改或破确保授权用户能够及时可靠地访问所需信息的信息泄露坏和资源•访问控制机制•数字签名验证•容灾备份系统•数据加密技术•哈希校验机制•DDoS攻击防护•身份认证系统•审计日志跟踪•负载均衡设计信息安全研究方向传统核心领域新兴前沿方向01网络安全物联网安全防火墙、入侵检测、协议安全分析智能设备防护、边缘计算安全、工业控制系统保护02系统安全操作系统加固、权限管理、漏洞防护移动安全Android/iOS安全机制、APP漏洞分析、移动支付安全03应用安全软件漏洞分析、安全编码、渗透测试云安全04密码学加密算法、密钥管理、安全协议设计安全无小事防护从思维开始,在攻防对抗中,防守方需要保护所有入口,而攻击者只需找到一个突破点建立安全思维,时刻保持警惕,是信息安全专业人员的基本素养第二章代码分析与程序安全程序是信息系统的核心,代码安全直接关系到整个系统的安全性本章将深入学习可执行文件分析、程序漏洞检测以及内存安全防护等关键技术可执行文件分析技术反汇编与反编译分析工具动态插桩将二进制代码转换为汇编指令或高级语言,理掌握IDA Pro、x64dbg、Cutter等主流逆向使用Intel PIN进行运行时代码注入与行为监解程序运行逻辑工程工具控可执行文件分析是安全研究的基础技能通过反汇编技术,我们可以深入理解程序的执行流程、数据结构和算法实现IDA Pro是业界最强大的反汇编工具,支持多种处理器架构和文件格式x64dbg提供友好的调试界面,适合动态分析Cutter作为开源替代方案,集成了Rizin框架的强大功能动态插桩技术允许在程序运行时注入自定义代码,Intel PIN工具可以监控函数调用、内存访问等行为,是漏洞挖掘和恶意代码分析的利器程序分析技术静态分析动态分析不执行程序,通过分析源代码或二进制文件发现潜在问题在运行环境中监控程序行为,捕获实际执行过程中的安全问题•代码审计与漏洞扫描•调试器与监控工具•数据流分析与控制流分析•模糊测试Fuzzing•符号执行技术•运行时行为分析实验项目:使用angr框架进行程序路径探索angr是一个强大的Python二进制分析框架,支持符号执行、污点分析等高级技术通过实验,学生将掌握如何自动化发现程序中的可达路径,识别潜在的漏洞利用点Clang StaticAnalyzer是基于LLVM的静态分析工具,可以检测C/C++/Objective-C代码中的bug通过开发自定义插件,我们可以实现针对特定安全问题的检测规则,将安全检查集成到开发流程中内存安全漏洞越界访问Double Free访问数组边界之外的内存区域,可能导致信息泄露或代码执行重复释放同一内存块,破坏堆管理结构,可能导致任意代码执行123Use-After-Free使用已释放的内存指针,攻击者可利用此漏洞控制程序执行流漏洞利用技术防护机制•缓冲区溢出与栈溢出攻击•栈保护Stack Canary•堆喷射与堆风水技术•地址空间随机化ASLR•ROP链构造与代码复用攻击•数据执行保护DEP/NX•格式化字符串漏洞利用•控制流完整性CFI通过实验课程,学生将亲手编写漏洞利用代码,深入理解攻击原理,同时学习如何实施有效的防护措施这种攻防结合的学习方式能够培养全面的安全视角从漏洞发现到利用的攻防对决漏洞利用是一门艺术,需要深厚的技术功底和创造性思维理解攻击者的思路是构建坚固防御体系的前提在实验中,我们将体验完整的漏洞挖掘、利用开发和防护实施流程第三章系统与网络安全防护系统和网络是信息基础设施的两大支柱本章将学习操作系统安全机制、网络协议安全以及实战防护技术,构建多层次的安全防御体系系统安全防护机制权限模型与访问控制硬件辅助安全内存隔离技术基于角色的访问控制RBAC、强制访问控制MAC、自主访问控制DAC CPU特权级别Ring0-

3、内存保护密钥MPK、可信执行环境TEE进程隔离、虚拟化技术、容器安全、微内核架构现代操作系统采用多层次的安全设计权限模型确保不同用户和进程只能访问授权的资源Linux的SELinux和AppArmor提供强制访问控制,Windows的UAC机制限制管理员权限滥用硬件层面的安全特性为系统提供了坚实基础CPU特权级别隔离内核态和用户态,Intel MPK提供细粒度的内存域保护,Intel SGX和ARM TrustZone创建可信执行环境,保护敏感代码和数据免受恶意软件侵害网络安全核心问题安全风险安全机制TCP/IP HTTPSSYN洪泛攻击、IP欺骗、会话劫持、中间人攻TLS/SSL协议、证书验证、密钥交换、加密套击等协议层面的安全威胁件选择与配置最佳实践电子邮件安全安全DNS钓鱼邮件识别、SPF/DKIM/DMARC认证、邮DNS劫持、缓存投毒、DNSSEC签名验证、件加密、恶意附件防护DNS隧道检测与防护网络协议的设计并未充分考虑安全性,许多经典攻击利用了协议本身的缺陷理解这些安全问题的本质,才能设计有效的防护方案网络安全实战安全测试方法常用工具Nmap:网络扫描与主机发现01信息收集Wireshark:网络协议分析Metasploit:渗透测试框架端口扫描、服务识别、漏洞探测Burp Suite:Web应用安全测试Snort/Suricata:入侵检测系统02漏洞利用渗透测试、权限提升、横向移动03后渗透数据窃取、持久化、痕迹清除04报告编写漏洞评估、风险分析、修复建议实验环境:本课程提供隔离的虚拟实验环境,学生可以在真实网络场景中进行安全测试演练,包括攻击模拟、防御部署、日志分析等完整流程,积累实战经验筑牢网络防线守护数字世界,网络安全是一场永不停息的攻防对抗防火墙、入侵检测、流量分析构成了多层防御体系只有不断学习新技术、跟踪新威胁,才能在这场较量中保持领先第四章安全与移动安全WebWeb应用和移动应用是现代互联网服务的主要形态本章将深入探讨Web安全漏洞、移动平台安全机制,以及针对这些平台的攻防技术安全风险Web12跨站脚本攻击跨站请求伪造XSS CSRF注入恶意脚本到网页,窃取用户Cookie、会话令牌或执行未授权操作诱使用户在已登录状态下执行非预期操作,利用浏览器自动携带Cookie的特性•反射型XSS与存储型XSS•CSRF token验证机制•DOM-based XSS攻击•SameSite Cookie属性•XSS防护:输入验证、输出编码、CSP策略•Referer头部检查34注入文件上传漏洞SQL通过恶意SQL语句操纵数据库,获取敏感数据或破坏数据完整性上传恶意文件如Webshell到服务器,获取远程代码执行权限•注入点识别与利用•文件类型验证绕过技术•参数化查询与预编译语句•安全的文件上传实现•ORM框架的安全使用•文件内容检测与隔离存储OWASP Top10列出了最关键的Web应用安全风险开发人员必须在编码阶段就考虑安全性,采用安全开发生命周期SDL,将安全融入每个环节安全攻防实验Web实验内容漏洞发现使用扫描工具和手工测试识别XSS、SQL注入等漏洞漏洞利用编写Payload,演示漏洞的实际危害和影响防御实施修复代码,部署WAF,验证防护效果安全加固配置HTTPS、实施安全头部、代码审计实验环境•DVWA DamnVulnerable WebApplication•WebGoat安全训练平台•自建漏洞靶场通过在受控环境中进行攻防演练,学生可以安全地实践漏洞利用技术,深刻理解安全问题的成因,掌握有效的防护方法实验强调动手能力培养,理论与实践相结合移动平台安全安全架构安全机制Android iOS内核层代码签名Linux进程隔离、权限管理、SELinux强制访问控制强制签名验证,防止未授权代码执行框架层沙箱App应用沙箱、权限系统、密钥库服务严格的应用隔离,限制文件系统访问应用层数据保护应用签名、安全通信、数据加密硬件加密、Keychain、Secure EnclaveAndroid安全机制不断演进,从早期的粗粒度权限到Android

6.0+的运行时权限,再到Android10+的分区存储和作用域存储,不断加强用户隐私保护移动安全实验分析APK反编译、代码审计、资源提取漏洞扫描MobSF自动化扫描、权限分析动态测试Frida Hook、SSL Pinning绕过报告生成风险评估、修复建议实践项目:学生将对真实移动应用进行安全分析,使用工具链包括:APKTool反编译、JadxJava反编译、MobSF自动化扫描、Frida动态插桩、Burp Suite流量分析通过完整的分析流程,识别应用中的安全隐患并提出改进方案移动应用安全测试需要考虑多个维度:代码安全、数据存储、网络通信、组件暴露、第三方SDK等常见问题包括敏感信息硬编码、不安全的数据存储、SSL证书不验证、调试模式未关闭等移动安全护航数字生活,移动设备已成为我们生活的延伸,承载着个人隐私、金融信息和社交关系保护移动应用安全不仅是技术责任,更是对用户信任的守护每一次安全加固,都让数字生活更加安心第五章物联网与密码学安全物联网将物理世界与数字世界连接,密码学是信息安全的数学基础本章探讨物联网面临的独特安全挑战,以及密码学在实际应用中的安全问题物联网安全挑战固件漏洞设备众多、更新困难,已知漏洞长期暴露资源受限计算能力弱、内存小、功耗低,无法运行复杂安全算法通信安全无线传输易被窃听,缺乏加密和认证机制僵尸网络弱口令、默认密码导致设备被大规模控制物理攻击设备部署在无人看管环境,易遭受物理篡改常见攻击类型防御策略•固件逆向与漏洞挖掘•轻量级加密算法AES-

128、ChaCha20•侧信道攻击功耗、电磁泄露•安全启动与固件签名验证•中间人攻击与重放攻击•设备身份认证与密钥管理•DDoS攻击Mirai僵尸网络•异常流量检测与隔离实验:使用硬件调试接口UART、JTAG提取IoT设备固件,进行逆向分析,识别硬编码密钥、后门账户等安全隐患实验将使用真实的智能设备,体验完整的IoT安全评估流程密码学安全基础对称加密算法1DES、AES、ChaCha20等,加密解密使用相同密钥,速度快但密钥分发困难2非对称加密RSA、ECC等,公钥加密私钥解密,解决密钥分发问题但计算复杂度高哈希函数3MD

5、SHA系列,将任意长度数据映射为固定长度摘要,用于完整性校验4数字签名结合哈希和非对称加密,提供身份认证和不可否认性密钥交换协议5Diffie-Hellman、ECDH,在不安全信道上协商共享密钥软件实现中的安全缺陷弱随机数生成:使用时间戳等可预测源作为种子,导致密钥可被猜测侧信道泄露:通过执行时间、功耗分析推断密钥信息填充预言攻击:利用CBC模式的填充验证错误信息破解密文密钥管理不当:硬编码密钥、明文存储、缺乏密钥轮换机制密码学安全实践案例一漏洞:HeartbleedOpenSSL的缓冲区过读漏洞,允许攻击者读取服务器内存中的敏感数据,包括私钥、用户凭证等影响数百万服务器,是密码学软件实现安全的警示案例二填充攻击:RSAPKCS#1v

1.5填充格式的设计缺陷,通过Bleichenbacher攻击可以解密RSA密文现代应用应使用OAEP填充方案或改用ECDSA签名案例三随机数生成器缺陷:Debian OpenSSL的随机数生成器bug,导致可预测的SSH密钥生成,攻击者可暴力破解强调密码学实现中安全随机数的重要性实验项目:学生将分析真实的密码学协议实现,使用工具如CryptoFuzz、Padding OracleExploit等,检测常见的密码学漏洞实验包括:TLS协议降级攻击、CBC模式填充预言攻击、时间侧信道分析等,理解理论与实践之间的差距密码学不仅是数学问题,更是工程问题正确选择算法、安全实现、密钥管理、协议设计,每个环节都可能成为弱点不要自己发明密码学是安全领域的金科玉律,应使用经过验证的标准库和协议密码学信息安全的基石:从古代的凯撒密码到现代的量子密码学,密码学始终是保护信息机密性的核心技术在数字时代,几乎所有安全机制都建立在密码学基础之上理解密码学原理,掌握安全实现,是信息安全专业人员的必备素养课程总结知识体系回顾与展望经过五个章节的学习,我们构建了完整的信息安全知识体系,从基础理论到实战技能,从经典漏洞到前沿技术信息安全是一个快速发展的领域,需要持续学习和实践信息安全人才的成长路径实验实践阶段理论学习阶段在受控环境中进行攻防演练,使用实际工具,积累动手经验掌握计算机基础、网络协议、操作系统、密码学等核心知识,建立扎实的理论基础•完成课程实验项目•系统学习安全课程•参与CTF竞赛•阅读经典技术书籍•搭建个人实验环境•关注学术前沿进展持续成长阶段项目攻防阶段跟踪技术发展,深入专业领域,成为某个方向的专家参与真实安全项目,面对复杂场景,综合运用所学知识解决实际问题•行业认证CISSP、OSCP等•企业实习与项目实践•技术分享与社区贡献•开源安全工具贡献•前沿研究与创新•漏洞挖掘与负责任披露职业发展方向能力要求安全研究员:漏洞挖掘、攻防对抗•扎实的技术基础安全工程师:系统加固、防护部署•快速学习新技术的能力安全架构师:安全体系设计•攻防思维与创新精神安全顾问:风险评估、合规咨询•团队协作与沟通能力安全管理:团队管理、战略规划•职业道德与法律意识共同守护数字安全未来持续学习拥抱新技术,AI安全、区块链安全、量子密码学等新兴领域不断涌现,保持好奇心和学习热情,才能跟上技术发展步伐以安全思维引领创新在技术创新中融入安全考量,推动Security byDesign理念,让安全成为产品和服务的基因而非补丁加入同济信息安全专业同济大学信息安全专业拥有一流的师资队伍、完善的实验平台和丰富的科研项目,欢迎有志青年加入我们,共同守护网络空间安全信息安全事业需要每一位专业人才的贡献让我们携手努力,用技术守护信任,用智慧构建安全,为数字中国建设贡献力量!。