给大家的福利
零基础入门
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
同时每个成长路线对应的板块都有配套的视频提供：
因篇幅有限，仅展示部分资料
网络安全面试题
绿盟护网行动
还有大家最喜欢的黑客技术
网络安全源码合集+工具包
所有资料共282G，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~
网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。
一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
当 Web 应用向后台数据库传递 SQL 语句进行数据库操作时。如果对用户输入的参数没有经过严格的过滤处理，那么
攻击者就可以构造特殊的 SQL 语句，直接输入数据库进行执行，获取或修改数据库中的数据。
XSS 跨站脚本攻击（Cross-Site Scripting，XSS）
同样是由于网站对于用户的输入内容没有进行严格的过滤处理，一些恶意的脚本代码被用户的浏览器执行而引发了 XSS 漏洞。
一个网站的呈现是基于 HTML,CSS,JS 等脚本语言的，浏览器的作用是什么？简单来说便是将只有计算机才能 “读懂”
的脚本语言及代码渲染成我们所看到的的图像与文字。
这里以百度为例。
在与架设着网站的服务器通信时，我们实际上收到的是使用 HTML 等语言编写的源代码，浏览器会将该源代码 “翻译”
出来。
(浏览器将下方的源代码 “翻译” 成 “百度搜索” 的页面)
如果我们能利用网站的某些缺陷，将自行构造的恶意脚本代码‘’注入” 到网站源代码之中，在别的用户在浏览网页时，我们构造的恶意代码便会被浏览器 “翻译” 出来，造成危害（Cookie 泄露，键盘记录等），这便形成了 XSS 漏洞。
CSRF 跨站请求伪造（Cross Site Request Forgery）
该漏洞往往不直接攻击网站服务器，而是冒充用户在站内的正常操作以达到攻击目的。我们在与网站进行交互操作时，绝大多数操作是基于浏览器与网站服务器的通信请求的，比如我们会在某些购物网站下商品订单，给指定用户转账，或者查询自己的考试成绩。
如果能够在用户没有察觉的情况下，“悄无声息” 通过浏览器伪造一些请求操作，进而产生对用户有害的攻击行为，
那么便形成了 CSRF 漏洞。
上文提到过，XSS 漏洞可以在用户不知情的情况下执行恶意操作，如果我们在 XSS 攻击代码中包含伪造好的特定
请求呢？这便与 CSRF 漏洞不谋而合。所以，XSS 与 CSRF 常相配合使用，威力巨大。
防范 CSRF 漏洞，需要添加 token 或 referer 来防御，云影安全后续会对此进一步讲解。
DDOS 分布式拒绝攻击 (Distributed Denial of Service)
起源于二十世纪九十年代，历经二十多年发展而经久不衰，DDoS 攻击已经成为网络安全领域影响最为深远的威胁之一。
严格地来讲，DDOS 并不完全归属于 Web 安全的范畴，凡是对外提供服务的服务器或主机都存在被 DDOS 攻击的
风险，但 DDOS 攻击在 Web 领域较为常见且危害大，我们在这里加以讲解。
那么什么是 DDOS 攻击呢？如果多台主机对目标网站或服务器发送大量请求，超出了该网站或服务器的处理能力上限，
导致服务瘫痪，这种行为便可以称作 DDOS 攻击。
举一个较为经典的例子，假设一个餐厅最多可以同时容纳 50 人就餐，假设在极短时间内该餐厅涌入成百上千的顾客，
该餐厅的正常就餐秩序必然会受到毁灭性的冲击。
DDOS 攻击如今已发展出多种攻击模式与手段，目前还没有一个较为完美的应对策略，关键点在于精心发动的 DDOS
攻击往往会利用合理的服务请求来占用过多的服务资源，难与正常用户的请求相区分，从而使服务器无法处理合法用
户的指令。
方法论
孤帆终究要起航，侠客也要去闯荡。在你开始踏上 Web 安全之路前，我们愿与你分享一些在探索学习中可能会有所帮助的心得与经验。
1. 亲手实践
- 纸上得来终觉浅，绝知此事要躬行。
- 在学习漏洞原理或是利用技巧时，最好不要止步于只看懂技术文章。相关的介绍文章往往以讲解思路为主，为保证文章整体的连贯性，部分技术细节会被忽略掉。例如程序的运行环境，设备的网络情况以及相关应用组件的具体版本号。
- 然而对于初学者来说，这些技术细节同样至关重要，如果没有亲手实践过，亲手复现出相同的漏洞或利用技巧，你永远不会接触到那些被忽视的种种细节。而细节决定成败，对漏洞利用过程的残缺理解会对进一步的学习探索造成难以估量的影响。
- 同时，动手操作也有利于巩固对于所学知识的理解与记忆，加深印象。漏洞种类繁多，差异化的利用条件同样决定着漏洞利用的成功与否，因此在动手实践复现漏洞的同时，还需要完整的笔记记录。
2. 构建体系
- 什么是体系？体系的本质是各个知识点的灵活串联与应用。在体系里，知识不再是孤零零散落在大脑各处信息点，而是互相补充互相协作而成的系统化的有机整体。
- 其实这并不难理解。举个简单的例子，假如现在有一篇中文技术文档放在面前，虽然我们并不是专业人士，但将这份文档读完还是可以做到的，但如果换一个不懂中文的外国人来看这篇文章，那么他连阅读都无法完成。我们之所以可以将一篇不能完全理解的专业文章看完，是因为我们有一定的语文基础知识。
- 也就是说，在我们的大脑里，储存着识字的能力。我们可以将这些已经拥有的能力整合在知识体系中。这样的话，当我们去学习新知识时，完全可以从构建好的体系里，找到已经形成的能力。
- 好处即，完全陌生的知识会被分解形成一些小的知识点。然后再联系体系中已有的能力，去逐一攻克这些陌生的难题。
3. 分享交流
- 什么是黑客？真正的黑客可能与大多数人所理解的有所差异。黑客，由英语 Hacker 音译出来的，狭义是指专门研究、发现计算机和网络漏洞的计算机爱好者。根据黑客的原始定义，黑客对计算机有着狂热的兴趣和执着的追求，不断推动着计算机和网络的发展与完善。显而易见，黑客与网络安全紧密相关。
- 黑客精神是关于开放的精神。而黑客行为是基于团队的，只有开放才能让参与者们发挥出最大的能量，去修补，去改造。互联网上最有价值行为就是「奉献」，技术在奉献中获得了进步，知识在共享中得到了丰富。“分享交流” 无疑是构成互联网这座大厦的基石，只有知识共享才能推动我们不断向前走。逛一逛社区，分享些自我学习的心得，于人于己，都是大有裨益的。
最后
为了帮助大家更好的学习网络安全，小编给大家准备了一份网络安全入门/进阶学习资料，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂，所有资料共282G，朋友们如果有需要全套网络安全入门+进阶学习资源包，可以点击免费领取（如遇扫码问题，可以在评论区留言领取哦）~
😝有需要的小伙伴，可以点击下方链接免费领取或者V扫描下方二维码免费领取🆓
1️⃣零基础入门
① 学习路线
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
② 路线对应学习视频
同时每个成长路线对应的板块都有配套的视频提供：
因篇幅有限，仅展示部分资料
2️⃣视频配套资料&国内外网安书籍、文档
① 文档和书籍资料
② 黑客技术
本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。
最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。
最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！下面就开始进入正题，如何从一个萌新一步一步进入网络安全行业。
学习路线图
其中最为瞩目也是最为基础的就是网络安全学习路线图，这里我给大家分享一份打磨了3个月，已经更新到4.0版本的网络安全学习路线图。
相比起繁琐的文字，还是生动的视频教程更加适合零基础的同学们学习，这里也是整理了一份与上述学习路线一一对应的网络安全视频教程。
网络安全工具箱
当然，当你入门之后，仅仅是视频教程已经不能满足你的需求了，你肯定需要学习各种工具的使用以及大量的实战项目，这里也分享一份我自己整理的网络安全入门工具以及使用教程和实战。
项目实战
最后就是项目实战，这里带来的是SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~
面试题
归根结底，我们的最终目的都是为了就业，所以这份结合了多位朋友的亲身经验打磨的面试题合集你绝对不能错过！
网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。
一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
349
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
