核心:
1.web安全
2.二进制安全(包括逆向工程和漏洞利用)
3.密码学知识
其他基础:
1.软件开发
2.数据库原理
3.编程语言
4.计算机取证分析和隐写术
5.网络协议及网络算法
6.算法与数据结构
7.研究开源工具的基本原理,懂得自制工具
Web安全:
1.注入类:
SQL注入;XSS跨站脚本攻击;XXE;命令执行~命令注入(bash);文件上传~文件下载
2.信息漏洞:
源码泄露;敏感信息接口;员工资料泄露;服务器信息泄露
3.逻辑类:
权限绕过;条件竞争;数据篡改
网站工作原理:HTTP协议;Webserver
HTTP协议构成:
1.http-header构成(request response)
2.http-body 构成(request response)
3.http方法
‚Webserver:
1.Webserver分类
2.Webserver解析流程
3.Webserver基础安全
编程语言:
前端:html,css,javascript
后台和脚本语言:php,java,python
数据库原理:
关系型数据库(MySQL)和非关系型数据库
逆向工程:
1.体系结构:机器指令和汇编语言
2.编译原理:自动机,词法分析,语法分析
3.操作系统:系统的加载与引导
4.计算机组成原理
漏洞挖掘与利用:
1.逆向工程
2.模糊测试
3.什么是漏洞
4.程序员在什么时候会犯错
5.信息收集工具:端口,子域名,代码泄露,员工字典
6.数据包抓取修改重放工具
7.顺手的浏览器及插件(火狐Hackbar)
8.VPS,漏洞验证
9.分析业务功能
10.分析web架构
11.针对性的罗列可能的漏洞类型
12.详细测试:不放过任何一个数据包
13.单一利用:Getshell;敏感信息接口
14.组合利用:XSS+CSRF
密码学:
1.古典密码学:凯撒密码;移位密码
2.现代密码学:对称加密体系(DES;AES)和非对称加密体系(RSA)