代码审计学习路线

学习代码审计分以下四部分

一.编程语言 

1.前端语言 

html/javascript/dom元素使用，主要是为了挖掘xss漏洞，jquery 主要写一些涉及到CSRF脚本使用的或者DOM型XSS，JSON劫持等

2.后端语言 

基础语法要知道，例如 变量类型,常量,数组(python 是列表,元组,字典)，对象,类的调用,引用等， MVC设计模式要清楚,因为大部分目标程序都是基于MVC写的，包括不限于php，python，java。

不用会写，但是一定能看懂，而且要看懂逻辑，知道哪些功能点会用什么方式去写,可能会出现什么类型漏洞，方便挖掘常规类型漏洞，更方便挖掘逻辑漏洞

二.渗透技巧 

1：工具渗透 

例如sqlmap，awvs，burpsuite等 

为什么使用工具

能用工具挖掘到你还人工审计干什么及辅助调试

2: 手工渗透

3: 原因

为什么要懂渗透技巧 

其一在于你找到漏洞的时候，通常的开发功底是不足以构造PAYLOAD的，需要一些特殊的PADYLOAD构造方式。

其二你在找漏洞时，可以辅助你更快的去挖掘漏洞

三.辅助技术

1.协议 

例如HTTP传输方式,dict:// file://等,懂得Header