观安全见闻2随笔总结

安全行业学习方向与Web程序漏洞解析

原创已于 2024-11-17 13:42:15 修改 · 693 阅读

16 ·

CC 4.0 BY-SA版权

文章标签：

#安全

于 2024-11-15 16:25:13 首次发布

声明：

学习视频来自B站up主【泷羽sec]，如涉及侵权行为请马上删除文章，文章所提及内容，均为学习交流，其他均与本人以及泷羽sec团队无关，切勿触碰法律底线，否则后果自负！！

学习方向与本质理解

强调在安全行业（如渗透测试、红队攻防）中，不论是何种方向，都要抓住本质。以 web 渗透或红队工作为例，可从 Python、PHP、Java 中选择两种语言钻研，同时要把攻防技术掌握好，避免盲目学习。指出所有软件程序本质都是代码，无论是网页设计、网站开发还是软件工程等，不同类型的软件程序虽然有各种专业名词，但本质都是为了完成特定功能的代码，理解这一点可避免被名词混淆。程序是告诉计算机要做的事，将代码转化为二进制后硬件就知道如何执行。在选择编程语言时，越简单实用越好，比如能用 Python 完成的就不要用 C++，因为不同语言的底层逻辑都是让计算机执行任务，无需将事情复杂化。

web 程序构成

介绍了 web 程序通常由前端、后端、数据库、服务器构成。前端通过 URL 向后端请求，后端执行操作（如登录时需调用数据库数据，数据库存放在服务器上），后续 web 安全入门课程会详细讲解相关内容，强调要掌握这些基础知识。

相关语言、库、框架和潜在漏洞

语言方面：
- 前端语言：重点提及 html、css（注意其也可能存在注入，如 XSS 相关）、JavaScript（包含多种类型的 XSS、点击劫持、请求走私等知识点，这些知识相互关联，对理解前端漏洞至关重要，若不懂这三门语言但至少了解两种，不然很多前端潜在漏洞问题都无法理解）。
- 后端语言：列举了 php、java、python、golang、c/c++、lua、node js、ruby 等众多后端语言，以 php 为例，其存在反序列化漏洞、sql 注入漏洞、命令注入漏洞等，强调学习后端语言对于理解相关漏洞的重要性。
代码库：介绍了 JQuery、B00tstrap、elementui 等代码库，其作用是方便代码调用，避免使用原生语言编写代码耗费过多精力。
框架：提到 vue、react、angular 等框架，这些框架都是基于 html、css、javascript 编写的，从纯粹的 Javascript 分析漏洞较耗时，通常通过框架分析 XSS 等问题，框架种类繁多，了解即可。
潜在漏洞：
- 前端潜在漏洞：包括信息泄露、xss、csrf、点击劫持、访问控制、web 缓存漏洞、跨域漏洞、请求走私。
- 后端潜在漏洞：有信息泄露、xss、csrf、ssrf、反序列化漏洞、sql 注入漏洞、命令注入漏洞、服务端模板注入、跨域漏洞、访问控制。
- 数据库潜在漏洞：如 sql 注入、xss、命令注入等，同时介绍了关系型数据库（mysql、sqlsever、access、postgresql）和非关系型数据库（mongodb、couchdb、neo4、redis），强调了解数据库对于学习 SQL 注入等漏洞的重要性。
- 服务器程序潜在漏洞：包括信息泄露、文件上传漏洞、文件解析漏洞、目录遍历、访问控制，并列举了 apache、nginx、iis、tengine、tomcat、weblogic 等服务器程序。