零基础如何学习Web安全渗透测试？推荐这份史上最详细的自学路线图！

最新推荐文章于 2024-05-14 15:33:36 发布

大明湖畔的九青

最新推荐文章于 2024-05-14 15:33:36 发布

阅读量4.4k

点赞数 5

分类专栏： Web安全文章标签： http 网络安全渗透测试后端前端

本文链接：https://blog.csdn.net/m0_59991869/article/details/120235081

版权

Web安全专栏收录该内容

2 篇文章 2 订阅

订阅专栏

第 1 阶段 Web 技术入门

1.0 学习导论

此阶段，我们的学习目标是了解网络安全行业的法律法规 / 学习方法 / 求职目标，搭建属于自己的博客 / 论坛 / 网站（成为一名站长）、掌握 Web 技术架构、搞懂浏览器和网站之间的通信原理。

戳此获取网络安全资源

1.1 技能清单

Web 安全导论
法律法规
行业趋势
安全标准
学习指南
Web 网站实战
Web 建站指南（WordPress在线建站）
XMAPP 原理与实践（Web集成环境解读）
XAMPP 安装 WordPress
Joomla 介绍与安装
Discuz 介绍与安装
Dedecms 介绍与安装
HTTP原理与实践
HTTP 协议概述
HTTP 请求响应
HTTP 请求方法
HTTP 响应方法
HTTP 消息报文之请求报文
HTTP 消息报文之响应报文
HTTP 消息报文之通用报文
HTTP 消息报文之实体报文

1.2 工具软件

网站运行环境

Xampp / PHPstudy / WAMP / MAMP（任选一个）
Bitnami
PhpMyAdmin

CMS 程序包

WordPress
Joomla
Discuz
Dedecms

抓包调试

Postman
Npcap
Wireshark

1.3 学习资源

推荐网站

W3school
Runoob

推荐书籍

《 W3school 网站建设教程》
《图解 HTTP 》

1.4 学习周期

第 2 阶段 Web 前端开发

2.0 学习导论

此阶段，我们的学习目标是掌握 Web 前端开发技术，学习 HTML、CSS、JavaScript 编程语言，能独立制作 Web商业级页面。

戳此获取网络安全资源

.1 技能清单

HTML 编程原理与实践

WebStorm使用
HTML 入门
HTML 标题
HTML 头部
HTML 段落
HTML 文本
HTML 链接
HTML 列表
HTML 表格
HTML 布局
HTML 项目

CSS 编程原理与实践

CSS 入门
CSS 选择器
CSS 背景
CSS 文本
CSS 字体
CSS 链接
CSS 盒模型
CSS 定位
CSS 浮动
CSS 项目

JavaScript 编程原理与实践

JavaScript简介
JavaScript 基础
JavaScript 变量
JavaScript 数字
JavaScript 字符串
JavaScript 数组
JavaScript 词典
JavaScript 流程控制
JavaScript 流程控制
JavaScript 函数
JavaScript DOM基础
JavaScript DOM事件
JavaScript BOM事件
JavaScript 项目

2.2 工具软件

Webstorm
Sublime Text

2.3 学习资源

推荐网站

W3school
Runoob

推荐书籍

《 W3school 前端教程合集》
《 HTML5 与 CSS3 基础教程》（图灵出版）
《 JavaScript 基础教程》（图灵出版）

2.4 学习周期

第 3 阶段 Web 后端开发

.0 学习导论

此阶段，我们的学习目标是掌握 Web 后端开发，学习 Python 编程与 Django Web 开发框架，掌握 MySQL 数据库原理与操作。从零开始独立开发一个 Web 网站，并基于 LNMP 架构在 CentOS 服务器上进行部署。

这里要特别强调下，后端技术涉及的编程语言、Web框架、数据库、中间件、操作系统等技术众多，作为新手，可以遵循一个原则，即「深入某个技术栈，横向扩展其他」。

例如，在这个路线图里面，我们选择 Python/Django 作为后端学习的技术栈，因为相比 Java 或 PHP，Python 对于新手而言更加友好，代码简洁且语法清晰。不仅如此，由于众多安全工具和测试代码基于 Python 开发，其也被称为黑客或网络安全领域的第一语言。

当我们完成了 Python / Django 的学习之后，后续也可以再横向拓展到 PHP/Thinkphp 或 Java/Spring 等后端技术栈，这样才能更好的胜任 Web 安全测试工作。

3.1 技能清单

Python 编程原理与实践

Python 导论入门
Python 环境安装
Python 对象类型
Python 流程控制
Python 函数模块
Python 面向对象
Python 输入输出
Python 异常处理

Django Web 项目开发实战

Django 框架入门
Django 环境安装
Django 项目搭建
Django ORM
Django Models
Django Views
Django Template
Django Blog 项目
网站部署上线

3.2 工具软件

PyCharm
Navicat
MySQL

3.3 学习资源

推荐网站

Python官网
Python手册（中文版）
Django官网
Django项目
W3school
Runoob

推荐书籍

《 Python 核心编程》
《 Python 学习手册》
《笨方法学 Python 》
《轻量级 Django 》
《 Django Book 》

3.4 学习周期

第 4 阶段 Web 安全渗透

4.0 学习导论

此阶段，我们的学习目标是：

熟练 Kail Linux 渗透测试原理与实践，包括信息搜集、漏洞扫描、漏洞利用、后门维持等。
熟练 Web 安全攻防实验室搭建与靶机使用，包括 OWASP BWA、DVWA、Mutillidae II、PentesterLab 等。
熟练OWASP TOP10 等 Web 漏洞原理与利用，包括 SQL 注入、文件上传、文件包含、Webshell木马编写、命令执行、XSS跨站脚本攻击、CSRF跨站伪造请求等。
熟练编程开发与渗透测试等超 40 种常用工具使用，包括但不限于 BurpSuite、SQLmap、Wireshark、Metasploit、Nmap、Nessus、OpenVas、AppScan、AWVS、ZAP、Havij、Postman、Pangolin、Cknife、Weevely、Jexboss、Tamper、Xampp、edjpgcom、Google Devtools、PyCharm、WebStorm、Navicat、SET、Meterpreter、Shodan、Dirbuster、BeEF、WPscan、Joomscan、httpprint、Whatweb、Layer子域名、御剑后台、中国菜刀等。
熟悉CTF靶机渗透测试实战，通过CTF4、CTF6、CTF7等攻防实践，真正掌握黑盒测试、攻击链、红队等一系列方法。
熟悉Windows与Linux常见漏洞复现实践，包括CVE-2017-7494-SambyCry远程代码执行、CVE-2017-16995-Ubuntu16.04本地提权、MS17-010-永恒之蓝-Windows提权等。

4.1 技能清单

Web安全渗透之实验室搭建