入门Web安全（非常详细）零基础入门到精通，收藏这一篇就够了

无情哈老少

于 2024-08-07 11:24:42 发布

阅读量787

点赞数 19

分类专栏：网络安全文章标签： web安全安全

本文链接：https://blog.csdn.net/m0_71744044/article/details/140987144

版权

网络安全专栏收录该内容

672 篇文章 2 订阅

订阅专栏

每一个已经入门一个领域的人都有自己的一套入门方法，在无人指点的情况下，通过自己的摸索加上努力的沉淀逐渐成为一个领域的专家，从入门到成为专家也只是时间的问题，如果有高人指点，那么入门的时间会大大缩短，将那些无意义且浪费时间的部分忽略掉，从而以最短的时间获得最高的收益。

今天分享的一套学习路径，我认为是最好最有效的，可能不适用于所有人，只要有人从中受益，那么今天的分享就是价值的，那么如何更好更有效的入门 web 安全呢？你是如何入门的，欢迎评论区分享。

第一个小目标：编写一个 web 应用系统

首先 web 安全是什么？web 安全的主体是 web 系统，当你对 web 系统都不熟悉的情况下，如何做好 web 安全呢？所以我们入门 web 安全的第一步是熟悉 web 系统，了解 web 系统由哪些组件构成，不同组件的作用是什么，然后是有哪些功能，如何实现的。

如何快速了解 web 系统？我认为编写一个 web 系统是最快速，最有效的方式，在这个过程中，你需要学习：

1、web 系统的中间件服务器，如何搭建，如何配置

2、http 协议原理，看得懂网站交互的数据包

3、前端技术，html、css、javascript 之间的关系，前端常见框架等

4、后端技术，与数据库交互、文件操作等功能的实现原理，以及后端语言有哪些

5、编程技术，选定后端语言后如何实现功能，也就是编程算法

有了这些基础之后，再去理解漏洞的原理和漏洞的测试方法，将会事半功倍，所以初学者入门 web 安全需要制定的第一个小目标就是，自己编写一个简易的 web 系统，功能可以不多，但是要覆盖最常见的功能，至于编程语言的选定，根据自身的兴趣而定，比如 php+mysql+nginx+apache、java+tomcat+spring+mysql、asp.net+iis+mssql 等。

第二个小目标：学习漏洞原理，发现自己网站的漏洞

第一个小目标最关注的是功能的实现，对于安全无需过多考虑，不然整个时间线就拉长，可以选在在特定的时间完成特定的事情，让学习更加聚焦。在此基础上，你开发的网站可能会存在各种各样的漏洞，接下来的目标就是通过漏洞的学习来发现自己网站的所有漏洞。

因为系统是由你开发的，所有的功能和代码都是由你编写，这套系统，没有人会比你更加熟悉，所以在学习漏洞原理的时候，思考自己在处理相关问题时是否存在相应的问题，然后进行测试，发现漏洞之后，试着根据漏洞原理去修复该问题。

在实际的渗透测试过程中，了解系统的功能、架构是第一步，只有这样才能更好的测试和发现网站的隐藏漏洞，这是一个非常好的积累漏洞知识的过程。

你的系统可能不会覆盖所有漏洞，所以可以基于漏洞列表进行一一学习测试，直到将所有漏洞学习测试完毕，然后整理出自己的测试列表，记录测试的种类、方法、步骤，这个在你未来的工作中也可以一一对照进行测试。

第三个小目标：选择 SRC 目标系统，一一测试，直到发现漏洞

前两个目标都是在学习积累，第三个目标就是实战，通过自己的技术积累，让其发挥价值，发现企业的漏洞，并报告，获得第一份赏金漏洞。

在第二个小目标学习的过程中，你已经有了一个测试的检查项列表，也就是针对任意网站，你已经知道如何测试，测试哪些内容，接下来就是要获取目标列表，然后一一测试，所以这个目标的关键是获取目标列表。

渗透测试的第一步是信息收集，要基于企业域名扩展更多的网站，那么如何信息收集就是这个目标的关键，这个目标更贴近实战，去选择一个 SRC 作为目标，然后收集其所有子域名、IP 信息，将该企业的所有边界网站整理出来，然后套用第二个目标的检查项进行一一测试，我相信，你一定可以找到漏洞。

总结

经过这个三个目标的洗礼，你一定可以入门 web 安全，而且会是一个技术能力很强的人，能完整实现三个目标的人，我认为是比较少的，在如今大环境如此不好的前提下，积累自身能力是最重要的事情，让你即使在如此不好的环境下也能找到非常好的工作，如果你想跟更多小伙伴一起学习，欢迎扫描下方二维码加入我们，一起学习提升。
下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！

【点击这里，先领资料再阅读哦~】

初级网工

1、网络安全理论知识（2天）

①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）

①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）

①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）

①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）

①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）

①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

【“脚本小子”成长进阶资源领取】

7、脚本编程（初级/中级/高级）

在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级网工

这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。

网络安全学习路线&学习资源

在这里插入图片描述

扫描下方卡片可获取最新的网络安全资料合集（包括200本电子书、标准题库、CTF赛前资料、常用工具、知识脑图等）助力大家提升进阶！

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。