Web安全检查

在使用成熟的框架编写Web应用程序时，有时候开发会处于永无止境的修改=>测试=>修改=>测试的状态。尽管如此，开发人员更专注于更改的功能和可视输出，而在安全性方面花费的时间却少得多。但是，当他们确实专注于安全性时，通常会想到的就是典型的事情，例如防止SQL注入或访问控制错误，但是对安全性的关注应该远远超过这些。

在测试Web应用程序时，这个列表提供一个常见的几种导致安全漏洞的原因和预防办法。虽然这还远远不够全面，但是可以为测试提供一定参考。

单元测试

前面我们提到了修改=>测试=>修改=>测试的循环。与此有关的一个问题是，所做的更改会影响到测试内容之外的其他功能，例如在代码的多个模块复用了这个功能。测试框架允许通过使用带有某些参数的函数并断言预期的结果来确保功能与预期一致，从而防止发生安全事件（例如，防止isAdmin()函数错误地允许管理员权限）。

访问控制

我们还提到了访问控制错误，这些错误在定制开发的应用程序中至关重要。这就像是用户提升自己的特权或访问未经授权访问的内容的能力。应当采取严格访问控制限制来验证执行受限操作和内容的高权限。

变更跟踪/版本控制

跟踪代码或配置文件的更改对于许多安全问题至关重要：功能可靠性，跟踪修改记录，确保黑客没有进行任何篡改等等。跟踪配置文件的更改，并使用源代码管理（Git，SVN）可确保在何时何地更改了哪些内容。

管理权限

当在较大的团队中工作时，拥有管理员级别权限的人数可能会增加。不仅是服务器上的root权限，还包括对Git存储库的写访问或云服务器账户中的实例访问权限。审核日志有助于跟踪谁做了什么，但是更重要的是确保合适的人员拥有所需的访问权限。

最小特权

从上面的权限内容继续，应该始终明确人员都采用最小特权的概念。在授予访问权限时，要考虑的一个重要问题是，所需的最少特权是多少？Web应用程序不需要访问整个文件系统，需要不需要访问数据库，依此类推。

异地冗余

前面提到的大多数要点都需要一定程度的日志记录才能完全有效。将日志存储在本地而不是远程存储，从而有可能篡改跟踪记录。此外，异地备份和多地冗余可实现更好的稳定性，正常运行时间和灾难恢复。

监控

冗余有利于恢复，但还可以采取监控措施提高安全性。强制性监控可以及时发现问题发生的时间，而不是找出发生问题的时间，因此可以在重大故障发生之前进行防范措施。良好的监控还会寻找级联效应的可能性，例如，一项服务中断会使依赖它的其他服务的整个集群瘫痪。

加密

太多的Web应用程序仍然允许通过非SSL连接和其他各种未加密流量进行纯文本身份验证。数据存储也不总是安全的，例如使用易破解的MD5或SHA1密码加密哈希算法存储的密码。确保使用加密安全的TLS证书和哈希算法（建议使用加盐的SHA512），可以大大减少未经授权的数据访问的脆弱性。

Web安全扫描程序

将每个功能和每个用户操作组合起来，安全风险的可能性呈指数增长。甚至安全团队都不可能手动验证和测试所有内容，但是好的自动Web安全扫描程序不仅可以测试漏洞，而且可以发现一些开发人员可能不会考虑的问题。

SQL注入

当然，SQL注入是最常见的安全问题。近年来，SQL注入仍然是OWASP前10名中的第一名。使用准备好的SQL语句和处理用户输入内容是防止中招的两种重要方法。

总结

正如之前所说，该列表不是全面的。确实，一个真正全面的列表会是数以千计，其本身也拥有大量的书籍资料。安全性是要了解每个潜在的极端情况，超越常规的思维方式。

      网络安全入门学习路线

其实入门网络安全要学的东西不算多，也就是网络基础+操作系统+中间件+数据库，四个流程下来就差不多了。

1.网络安全法和了解电脑基础

其中包括操作系统Windows基础和Linux基础，标记语言HTML基础和代码JS基础，以及网络基础、数据库基础和虚拟机使用等...

别被这些看上去很多的东西给吓到了，其实都是很简单的基础知识，同学们看完基本上都能掌握。计算机专业的同学都应该接触了解过，这部分可以直接略过。没学过的同学也不要慌，可以去B站搜索相关视频，你搜关键词网络安全工程师会出现很多相关的视频教程，我粗略的看了一下，排名第一的视频就讲的很详细。 当然你也可以看下面这个视频教程仅展示部分截图： 学到http和https抓包后能读懂它在说什么就行。

2.网络基础和编程语言

3.入手Web安全

web是对外开放的，自然成了的重点关照对象，有事没事就来入侵一波，你说不管能行吗！ 想学好Web安全，咱首先得先弄清web是怎么搭建的，知道它的构造才能精准打击。所以web前端和web后端的知识多少要了解点，然后再学点python，起码得看懂部分代码吧。

最后网站开发知识多少也要了解点，不过别紧张，只是学习基础知识。

等你用几周的时间学完这些，基本上算是具备了入门合格渗透工程师的资格，记得上述的重点要重点关注哦！ 再就是，要正式进入web安全领域，得学会web渗透，OWASP TOP 10等常见Web漏洞原理与利用方式需要掌握，像SQL注入/XSS跨站脚本攻击/Webshell木马编写/命令执行等。

这个过程并不枯燥，一边打怪刷级一边成长岂不美哉，每个攻击手段都能让你玩得不亦乐乎，而且总有更猥琐的方法等着你去实践。

学完web渗透还不算完，还得掌握相关系统层面漏洞，像ms17-010永恒之蓝等各种微软ms漏洞，所以要学习后渗透。可能到这里大家已经不知所云了，不过不要紧，等你学会了web渗透再来看会发现很简单。

其实学会了这几步，你就正式从新手小白晋升为入门学员了，真的不算难，你上你也行。

4.安全体系

不过我们这个水平也就算个渗透测试工程师，也就只能做个基础的安全服务，而这个领域还有很多业务，像攻防演练、等保测评、风险评估等，我们的能力根本不够看。

所以想要成为一名合格的网络工程师，想要拿到安全公司的offer，还得再掌握更多的网络安全知识，能力再更上一层楼才行。即便以后进入企业，也需要学习很多新知识，不充实自己的技能就会被淘汰。

从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。

尾言

因为入门学习阶段知识点比较杂，所以我讲得比较笼统，最后联合CSDN整理了一套【282G】网络安全从入门到精通资料包，需要的小伙伴可以点击链接领取哦！ 网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！