高职《Web安全攻防》课程教学设计

王彩梅

摘要：《Web安全攻防》课程是我校信息安全与管理专业的一门核心课程，该课程对学生职业岗位能力培养和职业素质养成起主要支撑作用。课程要求学生知识面广、自主学习能力强，为了克服课堂教学的局限性，该文利用线上教学的优势，将线上预习、复习和拓展作为线下课堂教学的补充进行教学改进，以XSS漏洞攻防为例进行教学设计与实施，提高教学效果。

关键词：高职院校;Web安全攻防;教学设计

2020年上半年受新冠疫情的影响，各大高校均开启了线上教学，与此同时，线上教学的优势和劣势在这半年的教学中都体现了出来。吸取线上教学的优势，弥补课堂教学的不足，将线上教学与线下课堂教学结合起来进行完美结合，提高学生学习的效果，成为我本学期课堂教学改进的重点。本文以《Web安全攻防》课程为例来进行教学设计和教学实施。

1 教学设计分析

在进行教学设计之前，我们需要先进行线上线下教学模式分析、课程定位和学情分析。线上教学的优点是资源丰富、学习时间和学习方式比较自由，能够培养学生独立自主学习的能力;不足之处在于当线上教学成为课堂教学的主要形式时，容易出现学生注意力不集中、老师监管不到、学生的实践环境得不到满足的情况。课堂教学的优势是，学生实践教学环境统一，面对面教学使得学生与老师之间更容易互动，学习氛围更好，学习注意力更集中。但缺点是课堂时间有限，学习内容也具有局限性。

《Web安全攻防》是信息安全与管理专业的专业核心课，课程开设在第四个学期。该课程通过详细讲解每一类Web安全漏洞的原理及攻防技术的演进过程，让学生掌握每种Web安全问题的解决方案，对整个Web安全防护体系建立清晰的认知，为今后从事信息安全相关工作打下基础。课程要求学生知识面广、肯花时间钻研、自主学习能力强。

高职学生特点是自主学习能力比较弱、对实践学习比较感兴趣，同时希望在实践练习后能够很快看到学习效果而获得成就感。

因此，本文将汲取线上教学优势，通过线上课前预习和课后复习与拓展的方式，不仅培养学生的自主学习能力，也作为线下课堂教学的重要补充;在教学内容上，遵循“理论够用、实践为主”的原则，以实践教学演示与练习为主;同时，实践教学应该进行分层教学，让具有不同基础层次的学生都能体会到成就感。

2 《Web安全攻防》课程教学设计

基于以上分析，选取《Web安全攻防》课程中的跨站脚本攻击（XSS）作为学习领域应用案例进行教学设计。

2.1 教学目标

专业能力目标：理解XSS概念、分类、漏洞原理和漏洞利用方式;熟练掌握XSS漏洞的挖掘;熟练掌握XSS漏洞的利用;熟练掌握XSS漏洞的防御。

方法能力目标：具备认真踏实的学习态度和严谨务实的工作作风;具备收集信息和学习资源的能力;了解学习领域的最新动态技术;具有自我学习的能力和用于探索新知识的精神。

社会能力目标：具备良好的语言技能、沟通交流能力和应变能力;具备良好的团队合作精神和集体荣誉感;爱岗敬业，遵守公司的规章制度;拥有正确的人生观和价值观，身心健康;热爱祖国，具有强烈的社会责任感。

2.2 教学设计

整个教学过程围绕项目任务来展开。教学过程可以分为以下几个步骤：

① 任务的情境：在工作中，Web安全与渗透测试工程师需要对网站进行渗透测试并针对存在的漏洞进行防御。现在需要对某个网站进行渗透测试，挖掘XSS漏洞并利用该漏洞拿到Web网站的权限。

② 任务的提出：

任务一：从给定的测试网站中挖掘XSS漏洞并验证XSS漏洞的存在;

任务二：利用XSS漏洞盗取网站的cookies，然后获取网站管理员的权限;

任务三：使用Beef工具实现XSS漏洞攻击;

任务四：XSS漏洞的其他利用方式实战。

要求：前面三个任务比较基础，要求全部完成;最后一个任务是拓展任务，漏洞测试网站和漏洞利用方式不限，可以在课后完成。

2.3 解决与完成任务

① 根据学情划分学习小组，学习小组成员按照学习基础和学习能力的强弱搭配的方式进行划分;

② 分小组讨论解决任务的思路，比如，如何挖掘XSS漏洞，可以通过手工挖掘或AWVS工具扫描挖掘;

③ 小组协作完成任务。

2.4 任务结果评价

① 小组演示任务完成过程及结果，并答辩;

② 小组互评及老师评价。

2.5 总结与反思

① 通过实战学习了漏洞挖掘和漏洞利用方式。大家已经掌握了常见的XSS漏洞利用方式。但实际工作中，XSS漏洞的利用远比我们所学习的复杂，还需要同学们深入学习与挖掘;

② 思考XSS漏洞在实际工作中还会以哪些方式存在，XSS漏洞的利用可能需要结合其他漏洞的利用来获取权限。

3 《Web安全攻防》课程教学组织与实施

该课程的组织与实施分为课前、课中、课后三个阶段的有机结合来完成。XSS漏洞挖掘与利用这一学习情境分两次课4课时来完成教学，具体组织与实施过程如表1所示。

4 总结

本文分析了高职院校《Web安全攻防》课程的相关特点。在此基础上，以XSS漏洞利用与防御为例，提出了基于线上线下混合教學模式的《Web安全攻防》课程的教学设计与实施过程，改进了教学效果。

参考文献：

[1] 吴建军.“Web安全基础”实验教学探讨[J].中国信息技术教育，2019（8）.

[2] 贾忠田.网络攻防课程建设经验探讨[J].计算机教育，2019（3）.

[3] 高贺.基于Web环境下的网络安全攻防技术的研究[D].北京邮电大学，2015（12）.

[4] 杜晔.Web应用安全实验教学探讨与案例评析[J].计算机教育，2014（6）.

[5] 王剑，张玉清.点击劫持漏洞攻防技术研究[J].信息网络安全，2011（7）.

【通联编辑：朱宝贵】