思政融入點(diǎn)
在復(fù)雜的文件包含場景中錘煉深度分析能力，培養(yǎng)穿透表象探究問題本質(zhì)的求真精神，掌握系統(tǒng)性的風(fēng)險(xiǎn)識別與分析方法，提升復(fù)雜系統(tǒng)中預(yù)見和防范安全風(fēng)險(xiǎn)的專業(yè)素養(yǎng)，培養(yǎng)從單一漏洞修復(fù)到系統(tǒng)安全架構(gòu)優(yōu)化的全局思維。
核心內(nèi)容
以中級文件包含漏洞為切入點(diǎn)，致力于培養(yǎng)學(xué)生在復(fù)雜場景中洞察本質(zhì)、系統(tǒng)思考的安全分析能力。教師首先呈現(xiàn)幾種超越簡單路徑遍歷的復(fù)雜包含漏洞場景：多層包含場景中，多個(gè)模塊間相互包含可能形成非預(yù)期的代碼執(zhí)行路徑；條件競爭導(dǎo)致的文件包含漏洞，要求分析代碼執(zhí)行的時(shí)序性；通過環(huán)境變量進(jìn)行的間接文件包含，需要理解系統(tǒng)運(yùn)行時(shí)的上下文環(huán)境；以及現(xiàn)代開發(fā)框架特性可能引入的包含風(fēng)險(xiǎn)。每個(gè)場景都要求學(xué)生跳出“存在一個(gè)包含點(diǎn)”的簡單思維，去分析代碼執(zhí)行流程、數(shù)據(jù)流傳遞、框架運(yùn)行機(jī)制等多個(gè)維度，從而識別出真正的漏洞成因，練就發(fā)現(xiàn)深層隱患的“火眼金睛”。為了系統(tǒng)訓(xùn)練這種深度分析能力，課堂開展“文件包含漏洞的根因分析與根治方案設(shè)計(jì)”專項(xiàng)訓(xùn)練。給定一個(gè)已發(fā)現(xiàn)的漏洞案例，學(xué)生需要使用五問法等分析工具進(jìn)行層層追問。通過連續(xù)追問，學(xué)生需要精準(zhǔn)區(qū)分表面原因和根本原因，并提出不僅要修復(fù)當(dāng)前漏洞，更要完善開發(fā)流程、加強(qiáng)人員培訓(xùn)、建立安全編碼規(guī)范等系統(tǒng)性改進(jìn)方案，實(shí)現(xiàn)從“治標(biāo)”到“治本”的跨越，培養(yǎng)系統(tǒng)性解決問題的思維習(xí)慣。
教學(xué)應(yīng)用建議
1. 要求學(xué)生選取一個(gè)歷史上影響較大的文件包含漏洞，追溯其從最初引入到最終被發(fā)現(xiàn)和修復(fù)的全過程，分析其根本原因、修復(fù)方案的演變以及從中應(yīng)吸取的架構(gòu)和流程教訓(xùn)，培養(yǎng)歷史分析與經(jīng)驗(yàn)總結(jié)能力。
2. 提供一段存在多個(gè)層次安全問題的中型代碼模塊，要求學(xué)生扮演安全評審專家，不僅要找出具體漏洞，更要撰寫一份安全評審報(bào)告，從編碼規(guī)范、設(shè)計(jì)模式、架構(gòu)缺陷等多方面提出系統(tǒng)性改進(jìn)建議，提升全面評審與架構(gòu)優(yōu)化能力。
3. 引導(dǎo)學(xué)生使用STRIDE等威脅建模方法論，對一個(gè)模擬的業(yè)務(wù)系統(tǒng)進(jìn)行完整的威脅建模，識別資產(chǎn)、繪制數(shù)據(jù)流圖、分析威脅、制定緩解措施，培養(yǎng)結(jié)構(gòu)化的、前瞻性的安全分析思維。
