网络安全最新从零开发短视频电商 利用Nginx限流保护应用安全，2024年最新网络安全面试宝典

如何自学黑客&网络安全

黑客零基础入门学习路线&规划

初级黑客
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包评论区留言即可领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

如果你零基础入门，笔者建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime；·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；·用Python编写漏洞的exp,然后写一个简单的网络爬虫；·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)；·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，评论区点赞和评论区留言获取吧。我都会回复的

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些笔者自己买的、其他平台白嫖不到的视频教程。

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

events { … }

http{

upstream #负载均衡服务器设置

server{ #主机设置

location { #URL匹配设置

…

}

}

}

server继承main，location继承server，upstream即不会继承其他设置也不会被继承。

Nginx查看安装版本

nginx -v

nginx version: nginx/1.20.1

Nginx配置了哪些模块

nginx -V

nginx version: nginx/1.20.1

built by gcc 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC)

built with OpenSSL 1.1.1k 25 Mar 2021

TLS SNI support enabled

configure arguments: --user=www --group=www --prefix=/www/server/nginx --add-module=srclib/ngx_devel_kit --add-module=srclib/lua_nginx_module --add-module=srclib/ngx_cache_purge --add-module=srclib/nginx-sticky-module --with-openssl=srclib/openssl --with-pcre=srclib/pcre-8.43 --with-http_v2_module --with-stream --with-stream_ssl_module --with-stream_ssl_preread_module --with-http_stub_status_module --with-http_ssl_module --with-http_image_filter_module --with-http_gzip_static_module --with-http_gunzip_module --with-ipv6 --with-http_sub_module --with-http_flv_module --with-http_addition_module --with-http_realip_module --with-http_mp4_module --with-ld-opt=-Wl,-E --with-cc-opt=-Wno-error --with-http_dav_module --add-module=srclib/nginx-dav-ext-module

限流配置

Nginx提供几种限流方式。

• 请求速率控制，限制单个IP的请求处理速率

• 并发连接数控制，限制单个IP连接数，server的总连接数

• 每个连接的下载速度

以上3种限流方式可以搭配结合使用，在指定的server或者location上限流。

请求限制QPS

ngx_http_limit_req_module 模块提供限制请求处理速率能力，使用了漏桶算法(leaky bucket)，限制单个IP的请求处理速率。

• 漏桶算法

• 作用：保证数据的最大的传输速率，桶的出口滴水速度恒定；不能应对突发流量，突发流量直接溢出丢弃

• 令牌桶算法

• 作用：能够限制数据的平均传输速率外，还允许某种程度的突发传输。

适用场景：如果要让自己的系统不被打垮，用令牌桶。如果保证别人的系统不被打垮，用漏桶算法

示例如下：

先在http范围定义一个limit_req_zone，然后在server或者location范围使用它。

http {

定义了一个ip_limit缓冲区（容器），同一个IP请求频率为每秒10个请求（r/s）

limit_req_zone $binary_remote_addr zone=ip_limit:10m rate=10r/s;

server {

…

location /login {

limit_req zone=ip_limit burst=12 nodelay;

proxy_pass http://login_upstream;

}

}

}

• limit_req_zone 只能配置在 http 范围内；

• $binary_remote_addr 客户端请求的IP地址，表示基于 remote_addr(客户端IP) 来做限流，binary_ 的目的是压缩内存占用量。；

• zone=ip_limit:10m 自己定义限流规则名称为ip_limit，允许使用**10MB（存储16W个IP）**的内存空间来记录ip对应的限流状态；

• 官方给出1M的缓存空间可以在 32位的系统中服务 3.2万IP地址，在 64 位的系统中可以服务 1.6万IP地址。不够的话自己加大点。

• 当NGINX需要添加新的记录时，如果此时存储耗尽了，最老的记录会被移除。如果释放的存储空间还是无法容纳新的记录，NGINX返回**503 (Service Temporarily Unavailable)**状态码。此外，为了防止内存被耗尽，每次NGINX创建一个新的记录的同时移除多达两条前60秒内没有被使用的记录。

• rate=10r/s 限流速度为每秒10次请求，实际上是按毫秒计算， 即每 1次/100ms

• 每100毫秒处理一个请求。这意味着，自上一个请求处理完后，若后续100毫秒内又有请求到达，将拒绝处理该请求。

• burst=12 漏桶的大小设置为12 是FIFO队列，把得不到执行的请求暂时缓存起来。

• nodelay 配合burst使用，要么立刻执行，要么被拒绝，请求不会因为限流而增加延迟了。

• location /login 仅仅对登录接口进行限流，如果放在server下，即对整个server限流。

并发限制连接数

ngx_http_limit_conn_module 提供了限制连接数的能力。

示例如下：

先在http范围定义一个limit_conn_zone，然后在server或者location范围使用它。

http {

limit_conn_zone $binary_remote_addr zone=perip:10m;

limit_conn_zone $server_name zone=perserver:10m;

server {

…

每个IP只允许一个连接

limit_conn perip 10;

限制服务器的总连接数

limit_conn perserver 100;

限制传输速度（如果有N个并发连接，则是 N * limit_rate）

limit_rate 1024k;

}

}

• limit_conn_zone 只能配置在 http 范围内；

• $binary_remote_addr 表示客户端请求的IP地址；

• $server_name 表示虚拟主机(server) 同时能处理并发连接的总数；

• limit_conn perip 10 表示限制单个IP同时最多能持有10个连接；

• limit_conn perserver 100 表示虚拟主机(server) 同时能处理并发连接的总数;

• limit_rate 1024k 限制单个连接传输速度，如果有N个并发连接，则是 N * limit_rate

下载速度限制带宽

ngx_http_core_module 还提供了限制数据传输速度的能力(即常说的下载速度)。

例如：

location / {

…

limit_rate_after 20m;

limit_rate 100k;

}

这个限制是针对每个请求的，表示客户端下载前20M时不限速，后续限制100kb/s。

被限制后发送给客户端的错误码

默认，当某个客户端超过它的限流，NGINX用503（Service Temporarily Unavailable）状态码来响应。使用limit_req_status指令设置一个不同的状态码（在下面的例子是444）：

location /login {

limit_req zone=mylimit burst=20 nodelay;

limit_req_status 444;

}

拒绝对特定位置的所有请求

如果你想拒绝对于某个特定URL的所有请求，而不是仅仅的限制它们。

location /buyer {

deny all;

}

限流日志

默认，NGNIX记录由于限流导致的延迟或丢弃的请求的日志，如下面的例子：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！