2021年教育培训机构前景「自动驾驶时代还需要驾校吗?东方时尚董事长徐雄:驾校核心价值是培养未知险情应对能力」自动驾驶时代还需要驾校吗?东方时尚董事长徐雄:驾校核心价值是培养未知险情应对能力

每经记者:可杨 每经编辑:文多

东方时尚董事长徐雄 图片来源:每经记者 李少婷 摄

“你的孙辈将能通过一条新型高速公路在24小时内横穿整个大陆。他们乘坐的是一种全靠按钮操作而不需要人驾驶的新式小汽车……”

美国著名未来学家诺尔曼·贝尔·格迪斯在1940年作出了上述预言,现在,我们正与预言中的世界无限接近。科技的颠覆力屡次被证实,一个有意思的问题是,在诺尔曼预言的未来里,还需要驾校吗?

徐雄的看法是,需要。

作为驾培上市公司东方时尚(SH603377,股价5.20元,市值37.85亿元)的董事长,徐雄在公司成立之初思考的首要问题是,这家没有先发优势和资源、经验的公司,该怎么生存?

徐雄明白,驾驶操作并不难,行业真正的壁垒,是如何培养驾驶员对未知险情的应对能力——这是驾校的核心价值,也是在不远的自动驾驶时代,驾校的立身之本。

1995年,23岁的徐雄创办了东方时尚,这是北京第204所驾校。在没有先发优势的情况下,徐雄凭借此前的酒店从业经验,以“服务”为优势,使东方时尚逐渐在北京市场站稳脚跟。2016年,公司突出重围,成为A股市场的“驾校第一股”。

二十余年间,中国汽车产业发展迅猛。

徐雄回忆,创业之初,汽车才刚刚进入家庭。而今,这一曾经从少有人买得起的新鲜玩意儿,开进了寻常百姓家;驾驶技术从过去的“职业技能”发展为一项“基本生活技能”;驾校从托人交钱才能进的“香饽饽”,逐步走向产能过剩的服务型生意;同时,辅助驾驶、自动驾驶正在快速突破,等待一个引爆点。

徐雄与东方时尚,面临着新的课题——自动驾驶火热,越来越多的城市开放了自动驾驶落地区域,“主驾无人何时实现”正成为行业关注热点。

A面,科技进步推动汽车行业猛踩油门,作为终点的无人驾驶似乎就等在下个转弯。

B面,听起来充满传统意味的以教人开车为生的驾校,会消失吗?

无人驾驶已经上路 图片来源:每经记者 董天意 摄

在徐雄看来,科技的进步和驾培行业的消亡“是两回事”。他认为,自动驾驶可以让驾驶操作变得更加简单、安全、舒适,“但它替代不了驾驶人需要有驾驶执照这件事。”常规情况下,汽车通过自动驾驶能够正常运行,但遇到险情时,一定要随时切换到人工。因为交通是一个交互式的行为,人、车、路、环境并不能全部实现“自动”,人工智能训练无法覆盖所有交通环境中可能发生的险情。

“所有参与者都是自动的,你才能完全实现自动化驾驶,当驾驶环境中发生险情时,人工智能的算力远不及人为应对险情的能力。”

外界争论驾校会否消亡,身处风暴中心,东方时尚正在试图讲一个传统驾校接轨汽车行业最前沿科技的故事。

VR+AI,是东方时尚在未来想要打出的组合拳。在徐雄看来,驾驶培训,是目前自动驾驶与虚拟现实技术为数不多落地的商业应用场景。目前。L2级自动驾驶技术已经在东方时尚的园区内落地。

在21世纪初,驾校开始将模拟器应用在驾驶培训中,而VR技术,正在将模拟器原本的平面效果进一步提升。“训练学员,刚开始接触真车的时候最费油,因为离合掌握不好,所以我们以前就用模拟器,(现在)VR技术提供了一个升级的技术平台。”

徐雄介绍,通过VR学车训练+真车的课程培训,学员合格率已经达到80%以上,超过传统的训练模式。

最初决定探索VR学车时,徐雄也有过犹豫,原因是VR技术一直没有出现能够大规模落地的商业应用场景,“(但)也怕万一被别人颠覆了,所以咱们先自己颠覆试试看”。在这一想法下,东方时尚开启了VR学车的探索之路。

VR与学车结合,落到驾校层面,壁垒依旧是教学内容和软件。徐雄认为,VR、AI,对于驾校来说都是工具,最终要实现的是对驾驶员的培训。“这个行业培训的核心是培养人的规则意识,所有的科技,全是工具,它只是工具。”

东方时尚正在探索将VR学车推向整个驾培市场,主要的模式是通过输出软硬结合的设备与服务,赋能其他驾培学校,采用收入分成、股权合作、租赁、销售等方式提升盈利水平。

谈及VR学车在行业推行的前景,徐雄列出了几点优势:在帮助学员掌握驾驶技能、顺利通过考试的基础之上,能够大幅降低油费、汽车配件磨损等运营成本;提高单位时间内的训练频次,从而提高培训效率;推动驾培行业的新能源转型,助力驾培行业的绿色、低碳、可持续发展。

最重要的一点优势是,VR学车解决了传统训练无法实现的模拟险情、交通事故应对。

根据徐雄的观察,汽车制造业水平不断提升,这使驾驶培训不再仅仅将如何让学员把车开动作为训练目的,“更重要的是安全意识的培养,培养驾驶人守规矩、把规则变成习惯的过程,是遇到险情知道如何应对的过程,也是发生事故如何使损失减到最小的过程。”

VR学车 图片来源:每经记者 董天意 摄

“关于死亡,几乎所有人都曾预想自己未来会怎么死,但几乎没有一个人会设想自己死于交通事故。然而,每天死于车祸事故的人很多,这就是一个现状。”

在驾培行业27年,徐雄深刻体会到,不文明的驾驶行为,可能在瞬间改变人的一生,改变一个家庭的完整,但说起交通安全,不少人都认为小概率、低频次、与己无关。

驾校对于驾驶员安全意识的培养情况,将最终传导到整个交通安全中。

“95%以上的交通事故都是驾驶员过错造成的,严重的违法行为,不文明的驾驶习惯,不够过硬的驾驶技术……”徐雄认为,我国汽车相关产业发展速度非常快,但在驾驶安全、驾驶培训领域,整体品质目前还处在非常低的状态。

行业整体品质不高的背后,是我国驾培行业长期处于小、散、乱的状态,地方小型驾校依旧是行业的生力军。“有的找一个简陋的场地戳几根杆,就叫驾校了。”徐雄说,这些驾校在培养学员安全意识和技术水平、应用科技元素等方面,还需要进一步提升。”

规模化的、全国性的驾校目前尚未出现。以东方时尚为例,华西证券研报中提到,东方时尚是目前唯一进行了异地布局的驾校,但若按公司2019年学生人数21万人来看,则市占率也不足1%。

此外,2016年之后,驾校数量井喷,学驾存量不断消除,驾校年培训量增长率逐年降低。《中国驾培行业发展报告(2020)》显示,2019年单车培训量只有33.9人,产能过剩严重。

而产能过剩的影响传导到价格层面,又引发了“价格战”等恶性竞争。中国交通运输协会驾驶培训分会对业内学费情况的抽样调查显示,43%驾校收费价格在成本线附近,超过50%驾校下调了学费价格。

徐雄觉得,这是行业的一个恶性循环,驾校降低了收费价格挤压了利润空间,就只能降低培训品质,降低教练工资等成本平衡。而教练员则只能透过“吃拿卡要”等潜规则,从学员身上获利。

他认为,人们的生活品质提升以后,对于自身的技能掌握标准也会提升。在驾驶学习层面,学员的需求也在从“拿到驾照”转变为“掌握过硬的安全意识”。这样的需求转变,正促使驾培行业走向整合提升。与此同时,规模化的驾校出现将有助于解决行业的大部分乱象。

徐雄的话里话外,都能得出一个观点,行业需要一家全国化、规模化的驾校。

2011年,东方时尚开始向京外扩展,在云南成立了云南东方时尚,随后六年间,东方时尚的版图先后扩张到了湖北、石家庄、重庆、荆州等地。2021年年报显示,京外地区贡献的营收占东方时尚总营收的三成以上。“我们始终坚守的是,一个规范的现代化驾驶学校,是一个城市必要的服务设施,它对于提升这个城市人口素质有非常重要的作用。”

图片来源:东方时尚2021年年报截图

迈上全国化之路十余年,徐雄对于东方时尚异地扩张的路径选择在改变。重资产扩张模式在他看来已不再适合。

东方时尚正在探索一条通过“VR+AI”智能驾培体系并结合自身27年的教学、运营、管理经验,帮助同行业成长、助力驾培行业整体品质提升之路。

“我们有27年的教学、运营、管理经验,(有)比较过硬的训练技术,考试的合格率在全国走在前列,但我觉得这是不够的,这些在资本市场看来费时间,因为你需要27年才能走到今天。”在外埠自建驾校并取得在北京地区同样的成绩,需要时间沉淀,且资产投入太重。所以未来,徐雄更倾向于“寻求跟地方兄弟驾校的合作”。

在全行业推广智能培训体系,用公司27年的教学经验和管理经验赋能同行业——这是徐雄得出的东方时尚核心价值。“过去我们所到之处是跟同行业抢饭碗,现在我们通过智能体系的输出,帮助它提高运营效能和盈利能力。”

尽管汽车行业飞速发展带动着驾培行业的进步,但规模化的驾校仍未出现。徐雄认为,背后的原因是,驾培行业的专业性比较强,教学体系、运营管理模式以及对行业的理解,共同构筑着这个行业的壁垒。

“2700万人”,这是部分人对驾校未来市场空间的判断。其背后的依据是:中国道路运输发展报告数据显示,2019年至2021年,全国分别完成机动车驾驶员培训人数2705.3万、2452.8万、2399.0万人。

“4亿+”,则是徐雄自己对未来市场空间的判断。他的逻辑是,随着新技术的应用,在新学员的培训之外,对老司机险情应对的再培训,正在延展行业的边界。截至2022年6月底,全国机动车驾驶人数量为4.92亿人。

囿于过往培训的低品质,对于“老司机”的再培训,是驾培行业一直以来希望落地却没有落地抓手的事。

如何应对险情,是需要知识、需要训练的。

但这究竟是不是一个强需求?徐雄笃定地认为,这对所有珍惜生命的人来说都是一个强需求。

东方时尚在等待险情培训这一“强需求”的崛起。

从业绩来看,2016年上市以来,除去疫情伊始的2020年,东方时尚的营收长期徘徊在11亿元上下,始终未见进一步明显突破。受此影响,东方时尚的股价也在一路走低,2016年上市初期,东方时尚的股价一度来到32.2元/股,但截至2022年10月13日,东方时尚的股价在5.28元/股。

对于股价与业绩,徐雄也坦然表示:“资本市场永远是对的,市场永远是对的,因为现在咱确实业绩‘不行’。”但他也表示,公司未来将加强与同行业、地方政府、国资平台间的合作,通过输出智能培训体系及先进的管理运营系统,帮助同行业提升训练和服务品质、降低运营成本、提高经营效率和盈利水平。他坚信,从VR学车到航空培训,东方时尚正处于打基础的过程,而机会,永远垂青于提前布局和随时准备着的人。

徐雄介绍,目前,东方时尚已在北京开出20余家VR学车店。近两年,东方时尚把99个交通事故的真实案例用VR场景来呈现,用于安全驾驶的培训。“(学员)分别作为交通事故的肇事者、受害者、路人甲沉浸在事故场景里,通过从不同角色出发,来学习和培训险情应对知识和技能,看看能不能避免交通事故或是将事故损失减到最小。当你遇到险情的时候,经历过培训和没经历过培训的处置方法是截然不同的。”

徐雄认为,新技术给整个行业的教学内容带来提升,让驾驶人在学车过程中不仅掌握驾驶技术,同时具备了防御性驾驶的能力,也能够训练很多险情的应对能力。

险情培训,对汽车驾驶培训而言依旧是全新的领域。在过去很长一段时间里,“即将与对面车辆发生碰撞”、“行人突然横穿马路”等在实际驾驶中发生的险情,驾校无法在培训中提前模拟。而虚拟现实技术的发展,提供了工具。

开车前绕车一周、远端手开车门……这些驾驶习惯的养成,是在帮助学员成功拿到驾照之外,驾校应当关注的教学内容,“一个规范的培训,对于提升人的安全意识有极其重要的作用。我们这个行业不等同一般的技能培训,开车这事弄不好,能够要了自己和别人的命,所以我们始终觉得我们要干好了,叫积德行善,干不好叫草菅人命。”

在多年对交通事故的研究中,徐雄思考出了驾校存在的意义,“所有的交通事故都有违法情节,而这些违法情节本是可以通过学习和训练去避免的,这才是我们驾培行业的真正价值所在。”

徐雄不认可如今驾培行业已经步入疲软期的说法。他反复用2020年的培训人数举例,那一年,疫情伊始,全国驾校在上半年处于停摆。但当年全国完成机动车驾驶员培训的人数,依然有2452.8万人。徐雄觉得,这个数据说明,尽管驾培行业同样经受着疫情冲击,但从需求层面看,驾培需求只会延迟,不会消失。

图片来源:每经记者 董天意 摄

随着未来用车成本的降低,徐雄觉得,整体市场潜力依旧巨大。而对于驾培行业而言,他认为,充分运用科技赋能同行业,提升行业整体的教学品质、服务品质,是未来驾驶员培训行业的正确发展路径。

“白底红圈是一个什么交通标志?”2016年东方时尚上市以后,徐雄在许多次路演中问到这个问题,6年时间里,少有人能答上来。

让所有驾驶员都能随时将问题的答案脱口而出,这是徐雄认为未来驾校存在的意义:通过险情培训,提升驾驶员的驾驶技术和应对险情的能力,让更多学习驾驶技术的人们树立对交通法规的敬畏。

?

记者丨李宇欣

本月中旬,教培头部企业们,像是约好了一样,相继官宣从义务教育阶段学科类培训服务领域掉头。

原因以及背景已经无需多言。

但现实无法回避。如果说巨头们财大气粗,无惧转型,那么,中小型机构们就不得不面临生死拷问:下一步,在哪里?

11月,德勤中国发布《新政重塑教育格局——中国教育发展报告2021》。梳理完报告后,我们认为,以下4个趋势非常值得教培从业者重点关注。

近年来,中国家长对孩子在素质教育方面的经济投入意愿加大,加上在线直播、人工智能、AR/VR等新兴科技的驱动,校外素质教育培训热度不断提升。

2021年上半年,素质教育赛道共有32个投融资项目,其中艺术类素质教育最受欢迎,囊括了素质教育的41%。其中,编程教育热度在2021年稍减,资本将目光放在了音乐、美术、象棋等领域。

在线编程、在线音乐、在线美术教育市场规模(2015-2020)

具体而言,目前与升学考试制度关联较大的艺术类、体育类培训仍是素质教育市场的主导方向,如音乐、舞蹈、美术、篮球、跆拳道、游泳、击剑等项目;

同时,包括语文阅读、数学思维等课程在内的基础素养也占据较大市场份额;

STEAM教育(STEAM为Science、Technology、Engineering、Arts、Mathematics的缩写,指融合科学、技术、工程、艺术、数学多领域综合教育)、儿童财商素养、社会化素养和情商培养等新兴赛道,也取得显著发展。

素质教育领域投融资细分

而且,从家长角度看,既然语数外等学科周内不能补课了,但总不能宅在家吧,素质教育便顺理成章成为了“替代品”之一。

根据国家统计局发布数据计算,截至2020年,中国3-15岁在校学生总规模已超2亿人,成为中国素质教育最核心的目标群体。2015-2020年,该年龄段学生人数持续增长。

中国3-15岁在校生规模(2015-2020)

在资本和从业者看来,虽然素质教育培训在刚需程度上不如学科类辅导,但素质教育领域细分品类众多,行业尚处发展期,竞争格局高度分散,仍有很大的发展空间。

因此,也不难理解为何有越来越多大型互联网公司开始进入素质教育领域,且形成了跨赛道布局和跨领域竞争的新发展趋势。

不过,值得注意的是,素质教育培训赛道绝对不是一条“康庄坦途”——教育部与部分省份已开始同步对非学科类机构发出监管信号,从公开的内容看,很多要求已经和学科类的管理非常接近了。

既要埋头赶路,也要抬头看天。政策的变化,这是非常需要注意的。

与义务教育阶段设置清晰“红线”不同,职业教育得到了态度明确的鼓励。

2019年1月,国务院印发的《国家职业教育改革实施方案》(业内著名的“职教20条”),吹起职业教育第一阵“东风”。

今年10月12日,中共中央办公厅、国务院办公厅印发《关于推动现代职业教育高质量发展的意见》,提出要增强职业教育适应性,加快构建现代职业教育体系的步伐,从全局高度勾画出中国职业教育未来15年的发展前景。

这也被业界认为是非常重要的一份文件,有兴趣的读者可以搜索原文细看。

职业教育行业重要政策法规(2019-2021)

除了政策指引,国家在职业教育方面的经费投入也逐年提高。据教育部数据,中等职业教育和普通高职高专教育经费投入从2010年的2409亿元增长到2020年的5630亿元,翻了一倍还不止。

职业教育经费投入(2010-2020)

既然政策如此利好,教育头部机构也不愿错过。

2019年以来,尚德、新东方、粉笔教育、作业帮、网易有道、高途集团等教培企业就分别采取行动,新增、整合或升级旗下成人教育业务,开启相应战略布局,具体方式例如成立独立的成人教育事业部门、推出成人教育子品牌、上线成人教育课程服务产品,或投资中小成人教育机构、与其他企业、平台展开合作等。

今年7月“双减”新规落地之后,腾讯、好未来也采取措施,加入竞争队列。

部分企业在职业教育领域的布局措施

大家都来分蛋糕,那职业教育的需求到底怎么样?

从供给端看,2020年6月人社部、工信部联合印发的《工业通信业职业技能提升计划行动实施方案》显示,我国目前就业人员有7.7亿,技术工人则只有1.65亿,其中高技能人才仅4700多万。近年来,全国技术工人求人倍率(即岗位需求数与求职人数之比)一直在1.5以上,高级技工的求人倍率更达到2以上水平,全国高级技工缺口达1000万人,高技能人才短缺成为就业结构优化、产业转型升级的一大瓶颈。

2025年制造业十大重点领域人才需求及缺口预测

所以,现实很明确:中国职业教育市场有巨大的发展空间。

德勤对2013年以来的中国职业教育市场规模进行测算发现,未来3年,中国职业教育市场复合年增长率将达到12%左右,2021年市场规模有望突破7000亿,其中非学历职业教育将达到4600亿左右。2023年,预计职业教育市场总规模将达到3671亿元,线上培训规模达到1254亿元。

中国职业教育市场规模(2013-2023F)

随着“一带一路”、中国–东盟自由贸易区(CAFTA)、RCEP协定、中非经贸合作等战略的推进,东南亚、非洲等地区汉语交流需求增加,全球7亿东南亚人士、13亿非洲籍人士将成为汉语教育出海最大的目标市场。

根据教育部副部长、国家语委主任田学军于2020年12月国际中文教育交流周上透露的信息,目前全球已有70多个国家将中文纳入国民教育体系,4000多所国外大学开设了中文课程。而在国外,目前正在学习中文的人数约2500万,累计学习和使用中文的人数接近2亿,2016-2020年间全球共有4000万人次参加HSK(中文水平考试)、YCT(中小学中文考试)等各类中文考试。

2亿人在学中文,这是什么概念?中国3 -15岁在校学生总规模也才刚好2亿。

在线语言学习平台多邻国(Duolingo)发布的《2020年语言趋势学习报告》也显示,自2017年开始,汉语成为该平台中全球用户总量增长最快的语言之一,2019-2020年实现了29%的增长。

就学习对象和学习动机而言,汉语学习者群体既包括海外华人华侨,也包括各国出于工作、留学等目的而学习汉语的人群,且近年来呈现低龄化趋势,目标人群定位在5-18岁人群。就地域而言,日韩、美国、东南亚和印度等地区作为来华留学的主要生源地,都是学习汉语的热门地区。

目前,已有多家教育机构推出面向海外青少年中文学习者的课程产品与培训服务,如Lingo Bus、TutorMing 、“考拉知道”(KoalaKnow)等。

以成立于2017年8月的Lingo Bus为例,这是在线少儿英语教育品牌VIP KID旗下的在线中文学习平台。

这个品牌是不是很熟悉?以前输入“原汁原味北美外语”,现在反了个方向,要输出“标准中文”了。

曾经不太为人关注的智能硬件赛道,在“双减”之后,变得拥挤起来。

例如:好未来、网易有道、科大讯飞持续加码教育硬件;大疆推出编程无人机;字节跳动发布大力智能学习灯;腾讯、作业帮等企业加大对智能学习工具的孵化;新东方近日也入局了编程领域……

这既有“双减”带来的被迫转型,也有时代自身发展原因。甚至有专家预言,未来的下一代,可能从小就会具备利用智能设备自主学习的能力,且这会成为基本能力。

当然,所谓教育智能硬件,其实也就两大类:

传统品类主要包括学生平板、点读笔、早教机和教育电子纸,发展较久、迭代版本较多,未来增长稳定。

新兴品类包括教育PC端、书写笔、扫描笔、智能作业灯、错题打印机、带屏智能音箱等,发展时间较短但创新程度较高,教育场景衍生丰富,更加注重用户体验和新功能开发,在业内人士看来增长潜力巨大。

根据腾讯、艾瑞和英特尔联合发布的数据,预计到2022年,传统和新兴教育智能硬件品类的市场规模分别将达到329亿元、272亿元,合计超过600亿元;而到了2024年,整体市场规模有望接近1000亿元。

中国教育智能硬件的市场规模(2018-2024F)

资本出手也丝毫不手软。2020年,作为智能硬件细分领域之一的教育信息化,其投融资项目达到67件,位列教育细分赛道内第二名,在资本市场崭露头角。

?

都说学习web安全渗透相对简单,但前景如何呢?

如果是零基础学习网络安全行业,不论在哪个机构都会建议大家从web安全学起,再根据自己的个人能力进一步深入选择方向。毕竟,web安全方向是相对于整个网络安全行业来说难度是相对比较低的,对于初学者来说是比较容易入手的。

可能在这里,大家会担心如果单方面只学web安全渗透安全方向,薪资会不会不高,没什么发展前景。

事实上并非如此,web安全渗透的发展前景是相当广阔的,可谓是一片蓝海!为什么这么说呢?

因为,现阶段,爆发安全问题最多的就是web安全,大部分攻击都是从web安全入手的。例如:内网渗透、工控安全都要依托于web安全。所以,web安全在整个网络安全行业攻击中起着特别关键的作用。

毕竟,web安全渗透岗位的主要职能就是保护网站不会被黑客利用恶意代码来盗取内部数据让访问者受到攻击。

据MarketsandMarkets预估,渗透测试市场将以23.7%的复合年增长率从2016年的5.947亿美元增长至2021年17.243亿美元。

也正是由于渗透测试的迅速发展,物联网和BYOD自带设备对安全的需求急剧增长,再加上网络和基于云的业务应用的部署剧增。Web安全渗透的就业前景可以说在整个网络安全行业中,缺口占比是非常大的。

因此,web安全渗透岗位的薪资情况也是非常可观的,一般月薪范围都在10-30k左右。

那么,重点来了,学习web安全要如何达到企业的用人标准呢?

01、熟练掌握 HTTP基础

而关于HTTP,你必须要弄明白HTTP/HTTPS特点及工作流程、HTTP协议(请求篇、响应篇)、了解HTML、CSS、Javascript、Get/Post的区别以及Cookie/Session是什么?

02 了解如下专业术语的意思

例如:Webshell、菜刀、0day、SQL注入、上传漏洞、XSS、CSRF、木马等等。

03 熟悉专业黑客工具使用

例如:Vmware安装、Windows/kali虚拟机安装、Phpstudy、LAMP环境搭建漏洞靶场、Java、Python环境安装、子域名工具 Sublist3r、Sqlmap、Burpsuite、Nmap、W3af、Nessus、Appscan、AWVS

04 掌握多种XSS漏洞类型

反射型 XSS:可用于钓鱼、引流、配合其他漏洞,如 CSRF 等。

存储型 XSS:攻击范围广,流量传播大,可配合其他漏洞。

DOM 型 XSS:配合,长度大小不受限制 。

05 了解SQL注入

SQL 注入漏洞原理:SQL 注入漏洞对于数据安全的影响、SQL 注入漏洞的方法、常见数据库的 SQL 查询语法、MSSQL,MYSQL,ORACLE 数据库的注入方法。

SQL 注入漏洞的类型:数字型注入 、字符型注入、搜索注入 、盲注(sleep注入) 、Sqlmap使用、宽字节注入。

SQL 注入漏洞修复和防范方法、以及SQL 注入漏洞检测工具的使用方法。

06 熟练掌握文件上传漏洞流程来进行分析

1.客户端检测绕过(JS 检测)

2.服务器检测绕过(目录路径检测)

3.黑名单检测

4.危险解析绕过攻击

5..htaccess 文件

6.解析调用/漏洞绕过

7.白名单检测

8.解析调用/漏洞绕过

9.服务端检测绕过-文件内容检测

10.Apache 解析漏洞

11.IIS 解析漏洞

12.Nginx 解析漏洞

07 了解文件包含漏洞

例如:include() include_once() require() require_once() fopen() readfile() 这些php函数是如何产生文件包含漏洞, 本地包含与远程包含的区别,以及利用文件包含时的一些技巧如:截断 /伪url/超长字符截断等 。

08 了解命令执行漏洞

例如:PHP代码中常见的代码执行函数eval(), assert(), preg_replace(), call_user_func(), call_user_func_array(),create_function(), array_map()等。了解这些函数的作用然后些搞清楚如何造成的代码执行漏洞。

09 会分析CSRF 跨站点请求

例如:为什么会造成CSRF,GET型与POST型CSRF 的区别, 如何防御使用 Token防止CSRF?

010 熟练了解以下逻辑漏洞的类型原理并进行利用

信息轰炸、支付逻辑漏洞、任意密码修改、越权访问、条件竞争、任意注册、任意登录、顺序执行缺陷、URL跳转漏洞.

011 了解XEE漏洞(XML外部实体注入)

当允许XML引入外部实体时,通过构造恶意内容,可以导致文件读取、命令执行、内网探测等危害。

012 了解SSRF漏洞的作用、原理及危害

当我们在进行Web渗透的时候是无法访问目标的内部网络的,那么这个时候就用到了SSRF漏洞,利用外网存在SSRF的Web站点可以获取如下信息。

1.可以对外网、服务器所在内网、本地进行端口扫描,获取一些服务的banner信息;

2.攻击运行在内网或本地的应用程序(比如溢出);

3.对内网Web应用进行指纹识别,通过访问默认文件实现;

4.攻击内外网的Web应用,主要是使用get参数就可以实现的攻击(比如struts2,sqli等);

5.利用file协议读取本地文件等。

日期(2023-01-15) 评论(0) 浏览(19)

0 评论

发表评论