2024年被黑客攻击了，登录流程要怎么做才安全_攻击快去登录，实战篇_login防攻击

如何自学黑客&网络安全

黑客零基础入门学习路线&规划

初级黑客
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

如果你想要入坑黑客&网络安全，笔者给大家准备了一份：282G全网最全的网络安全资料包评论区留言即可领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

如果你零基础入门，笔者建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime；·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；·用Python编写漏洞的exp,然后写一个简单的网络爬虫；·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)；·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，附上学习路线。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，评论区点赞和评论区留言获取吧。我都会回复的

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些笔者自己买的、其他平台白嫖不到的视频教程。

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

一定要注意防范 XSS、CSRF 攻击。攻击者通过在目标网站上注入恶意脚本，可以在其他用户的浏览器上运行脚本。利用这些恶意脚本，攻击者可获取用户的敏感信息。用户提交的任何数据都要保持怀疑态度，不能完全信任，该过滤就过滤，该拦截就拦截。国内大型网站，比如淘宝也存在过 CSRF 漏洞，可见大家对这种攻击形式还比较陌生。

后台登录代码要注意防范 SQL 注入攻击。如果黑客提交 password or 1 = 1 而后台没做 SQL 防注入，只是查询下数据是否存在，有可能就攻击成功了。所以 or 1 = 1 有个响亮的名字，叫万能密码。恐怕大家在做大学作业的时候，都有这个漏洞吧。

登录成功后，返回的 cookie 要设置 httponly、secure，这样就无法通过 js 脚本获取 cookie，可以防止跨站攻击，增加爬虫程序的难度。cookie 有效期根据业务需求决定，尽量短一些。曾经我也做过爬虫，爬网银的时候就处理过很多这样的 cookie，比普通 cookie 复杂很多。

如果使用手机短信登录，一定要控制验证码的时效性，即验证码一次有效 5 分钟，一分钟内只能发送一次。有必要时可以单点登录，其他设备登录后，本设备自动失效。也可以使用第三方授权登录接口，如微信登录等，优化用户登录体验，安全性更好。

密码安全性

尽量提升密码强度。一般来说，长度要 8 位以上，必须同时包含数字、小写字母、大写字母，建议用户使用特殊字符。

重置密码，最好通过邮箱发送一定时间内有效的重置链接，或者手机短信验证码，甚至两者相结合的方法。安全要求特别高的场景，比如股票交易软件，有的设计了一个单独的动态密码 APP，通过算法比对动态密码。密码保护问题在今天隐私满天飞的时代背景下，可能已经不那么安全了。

用户名密码错误提示含糊一些。无论是用户名还是密码错误，统一提示“用户名或密码错误”，不要给用户明确的提示。这样会在一定程度上让忘记用户名的用户难以登录，可以辅助一个用户名找回机制或允许使用邮箱、手机号进行登录。

不要在浏览器中明文保存用户名、密码，md5 加密也不行。如果要自动登录，可以保存 RSA 加密后的密文，通过 cookie 提交密文进行解析来自动登录。md5 或者 md5(md5) 在今天已经不安全了，黑客的彩虹表可能已经覆盖了大多数数据了。

保护好用户

密码落库必须加密。CSDN当年使用明文存储密码导致被脱裤后完全公开了用户密码，给用户和网站带来了极大的风险。基于彩虹表能够很方便地破解 md5、sha1 等古老算法的密文，建议至少使用 sha256 及以后的算法，并且加密过程加盐。盐的长度最好也要在 64 位以上。如果条件允许，给每个用户设计一个独有的盐值，将极大提升安全性。

数据库要保留用户的历史密码，修改密码时，不能和前几次一样。如果黑客掌握了某个历史密码，也可能在用户改回后恰好就对上了。参考 Google 账号登录，修改密码和 6 个月前的一样都是不行的。

保留用户的登录记录。时间、ip 都需要。如果本次 ip 和以前的有较大的差别，可以通过邮箱、短信、站内信等向用户提示，建议用户修改密码。用户长时间没有登录，后续再登录的时候最好强制修改密码，并且和历史密码不重复。

短时间内登录失败，要锁定用户。比如失败 5 次可以锁定 1 小时，再次失败锁定 8 小时，又失败锁定 24 小时。锁定后，用户可以通过注册邮箱或手机短信实现解锁，但一天内也要限制解锁次数。

即使在用户登录后，进行重要操作的时候，也要求用户重新输入一次密码。比如修改密码、修改绑定邮箱、修改密码保护问题、有消费行为等，可以防止用户被 XSS 攻击后黑客修改重要数据。

总结

本文梳理了设计登录流程需要考虑的一些关键点。世界上没有绝对安全的系统，有价值的网站和应用都是黑客攻击的重点对象。工作中务必重视安全问题，发现漏洞及时修复。也要考虑网站数据的重要程度，采取合适的防护措施。

​最后

最后

从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。

因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。

干货主要有：

①1000+CTF历届题库（主流和经典的应该都有了）

②CTF技术文档（最全中文版）

③项目源码（四五十个有趣且经典的练手项目及源码）

④ CTF大赛、web安全、渗透测试方面的视频（适合小白学习）

⑤ 网络安全学习路线图（告别不入流的学习）

⑥ CTF/渗透测试工具镜像文件大全

⑦ 2023密码学/隐身术/PWN技术手册大全

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

扫码领取