非科班出身的你，如何转行web安全工程师？

想从其他行业转行到算法工程师的人，无外乎以下几个原因：

• 现在工资太低

• 工作没有前景

• 对现在的工作没有热情

• 对web安全工程师很感兴趣

那么，转行web安全工程师，你需要掌握哪些技能呢？

（Web安全学习路线图）

陈鑫杰老师的《100天晋升Web白帽子黑客系列课》（Web安全工程师职业方向），包括《Web安全导论》、《Web建站指南》、《HTTP协议原理与实践》、《HTML原理与实践》、《CSS原理与实践》、《JavaScript原理与实践》、《Python编程原理与实践》、《Django Web项目入门》、 《Django Web项目实战》、《Kali Linux / Metasploit渗透测试从入门到精通》、《Web安全渗透课》等近20门课程，是国内第一套基于思维导图方式授课的全栈Web安全课。

大部分新人在学习Web安全技术的时候，往往止步于“工具使用”，而忽略了底层原理，更没有代码编程能力，使得后续职场发展受到很大阻碍，而本系列课程涵盖Web入门、Web前端开发、Web后端开发、Web安全渗透等，使得学员能够真正掌握Web前后端原理，能独立开发一个Web网站，并在代码级别上理解Web安全漏洞，真正意义上做到 [从原理到实战]。

课程中的每一张技术图解、每一行代码、每一个项目案例，都由院长亲自操刀、精心设计并耐心讲解，抛弃传统PPT翻书式授课，用更体系更科学的姿势带你学好这门课程。本系列课程已经成为很多一线Web安全工程师的首选课程，也成为众多500强名企的采购课程，学完本系列课程的学员，大部分就职于国内一线的互联网名企、网络安全企业、国企政企、系统集成商/服务商等单位。

导**师介绍**

• 陈鑫杰 拼客科技CEO / 拼客学院院长

• 多年一线互联网 / 金融 / 政府信息安全技术支撑

• 擅长网络安全 / Web安全 / 渗透测试 / 数字取证

• 51CTO金牌讲师 / 300万+学员 / 安全类Top1

• 腾讯安全合作伙伴 / 共同打击灰黑产非法犯罪

• 网警技术顾问 / 多次协助抓获大型诈骗团伙

• 知乎专栏作家 / 跟杰哥学网络与安全

班级目标

• 零基础成为Web站长，拥有自己的博客/论坛/网站。

• 掌握Web服务器与浏览器的HTTP通信原理与抓包解包。

• 掌握Web前端开发，学习HTML/CSS/JS编程，能独立制作Web前端页面。

• 掌握Web后端开发，学习Python编程与Django框架，掌握MySQL数据库操作。

• 从零开始独立开发一个Web网站，并根据LNMP架构在CentOS系统上部署Web服务。

• 熟练Kail Linux渗透测试原理与实践，包括信息搜集、漏洞扫描、漏洞利用、后门维持等。

• 熟练安全攻防实验室搭建与靶机使用，包括OWASP BWA、DVWA、Mutillidae II、PentesterLab等。

• 熟练OWASP TOP10等Web漏洞原理与利用，包括SQL注入、文件上传、文件包含、Webshell木马编写、命令执行、XSS跨站脚本攻击、CSRF跨站伪造请求等。

• 熟练编程开发与渗透测试等超40多种工具使用，包括但不限于BurpSuite、SQLmap、Wireshark、Metasploit、Nmap、Nessus、OpenVas、AppScan、AWVS、ZAP、Havij、Postman、Pangolin、Cknife、Weevely、Jexboss、Tamper、Xampp、edjpgcom、Google Devtools、PyCharm、WebStorm、Navicat、SET、Meterpreter、Shodan、Dirbuster、BeEF、WPscan、Joomscan、httpprint、Whatweb、Layer子域名、御剑后台、中国菜刀等。

班级对象

• Web安全、白帽子黑客、渗透测试、安全攻防、安全服务、网络安全、信息安全、安全运维、

班级特色

• 网络安全专家导师授课

• 采用思维导图方式授课

• 课件超详细 | 知识点丰富 | 实战驱动

学习安排（课程表）

课程预览（项目实战）

Web安全入门

Web前端**开发**

Web后端开发

Web渗透测试

Part 1：Web安全导论入门

关键词：行业发展、安全工程师岗位解读、薪酬解读、推荐书籍、安全媒体、安全企业

Part 2：Web安全渗透实验室

关键词：Kali Linux、OWASP BWA、DVWA、Mutillidae II、PentesterLab

Part 3：Web信息搜集

关键词：搜索引擎（Google/Shadan/Zoomeye hacking）、目标扫描（Nmap、OpenVAS）、指纹识别（whatweb、Appprint、御剑指纹识别）、域名/目录/后台暴破（DirBuster、御剑、Layer）

Part 4：Web漏洞扫描

关键词：Burp Suite、AWVS、Appscan、ZAP、WPscan、Joomscan

Part 5：SQL注入漏洞与渗透

关键词：SQL注入原理（错误、布尔、Union、盲注）、手工注入与自动化注入（SQLmap、Havij、Pangolin）、SQL注入防御思路

Part 6：文件上传与Webshell渗透

关键词：不同安全级别的文件格式、大小限制、拦截上传绕过、Webshell原理、一句话木马原理、大马小马区别、图片木马、中国菜刀、Cknife、Weevely、edjpgcom、文件上传和Webshell挂马防御思路。

Part 7：文件包含漏洞与利用

关键词：常见包含函数解读、本地文件和远程文件包含原理和差别、文件包含结合图片木马实现Webshell、不同文件包含限制绕过、文件包含防御机制。

Part 8：命令执行漏洞与渗透

关键词：命令执行原理、不同命令执行漏洞绕过与分析、通过Jexboss框架实现Struts2漏洞发现与利用案例分析、命令注入防御思路

Part 9：XSS跨站脚本攻击漏洞与渗透

关键词：XSS原理、反射型+存储型XSS、常见XSS攻击脚本构造解读（弹框、cookie窃取、重定向、加密编码）、不同安全级别的XSS绕过与漏洞利用、BeEF浏览器渗透框架实战、点击劫持、持久化控制、谷歌/Facebook账号钓鱼、虚假插件更新…

Part 10：CSRF跨站请求伪造漏洞与渗透

关键词：CSRF原理、CSRF与XSS的区分与结合、Cookie和Session会话机制、BeEF+XSS实现get方法的CSRF、BeEF+Burp实现POST方法的CSRF。

    网络安全入门学习路线

其实入门网络安全要学的东西不算多，也就是网络基础+操作系统+中间件+数据库，四个流程下来就差不多了。

1.网络安全法和了解电脑基础

其中包括操作系统Windows基础和Linux基础，标记语言HTML基础和代码JS基础，以及网络基础、数据库基础和虚拟机使用等...

别被这些看上去很多的东西给吓到了，其实都是很简单的基础知识，同学们看完基本上都能掌握。计算机专业的同学都应该接触了解过，这部分可以直接略过。没学过的同学也不要慌，可以去B站搜索相关视频，你搜关键词网络安全工程师会出现很多相关的视频教程，我粗略的看了一下，排名第一的视频就讲的很详细。 当然你也可以看下面这个视频教程仅展示部分截图： 学到http和https抓包后能读懂它在说什么就行。

2.网络基础和编程语言

3.入手Web安全

web是对外开放的，自然成了的重点关照对象，有事没事就来入侵一波，你说不管能行吗！ 想学好Web安全，咱首先得先弄清web是怎么搭建的，知道它的构造才能精准打击。所以web前端和web后端的知识多少要了解点，然后再学点python，起码得看懂部分代码吧。

最后网站开发知识多少也要了解点，不过别紧张，只是学习基础知识。

等你用几周的时间学完这些，基本上算是具备了入门合格渗透工程师的资格，记得上述的重点要重点关注哦！ 再就是，要正式进入web安全领域，得学会web渗透，OWASP TOP 10等常见Web漏洞原理与利用方式需要掌握，像SQL注入/XSS跨站脚本攻击/Webshell木马编写/命令执行等。

这个过程并不枯燥，一边打怪刷级一边成长岂不美哉，每个攻击手段都能让你玩得不亦乐乎，而且总有更猥琐的方法等着你去实践。

学完web渗透还不算完，还得掌握相关系统层面漏洞，像ms17-010永恒之蓝等各种微软ms漏洞，所以要学习后渗透。可能到这里大家已经不知所云了，不过不要紧，等你学会了web渗透再来看会发现很简单。

其实学会了这几步，你就正式从新手小白晋升为入门学员了，真的不算难，你上你也行。

4.安全体系

不过我们这个水平也就算个渗透测试工程师，也就只能做个基础的安全服务，而这个领域还有很多业务，像攻防演练、等保测评、风险评估等，我们的能力根本不够看。

所以想要成为一名合格的网络工程师，想要拿到安全公司的offer，还得再掌握更多的网络安全知识，能力再更上一层楼才行。即便以后进入企业，也需要学习很多新知识，不充实自己的技能就会被淘汰。

从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。

尾言

因为入门学习阶段知识点比较杂，所以我讲得比较笼统，最后联合CSDN整理了一套【282G】网络安全从入门到精通资料包，需要的小伙伴可以点击链接领取哦！ 网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！