web安全之路

为工做室萌新所做。记得之前刚学习安全时，醉心于技术，但倒是一直学习不得法，当时咱们那批人不懂计算机原理，不懂编程，只是粗浅理解一些网络，加之安全也很难内容庞杂，不知到该学哪些，学完以后会有什么效果，遇到了不少问题，就这麽在黑暗中摸索了大半年，最后才有所得，到底浪费了太多时间。

因此我不但愿大家向咱们当初同样，为此我总结了一下，有了下面一篇文章，文章中涉及不少的重要的知识只粗略的点了一下，但就算是这样也仍是有不少想写的没写，有时间我会再发一片文章做为补充。

基础篇

（建议将基础篇做为工做室招新考试考纲范围）

html知识

http://www.w3school.com.cn/html/html_jianjie.asp

计算机网络基础知识

http://www.cnblogs.com/maybe2030/p/4781555.html#_label6

http://blog.csdn.net/cws1214/article/details/8078629

http://blog.csdn.net/chuckfql/article/details/7477854

服务器知识

http://blog.csdn.net/dragonpeng2008/article/details/6642865

https://www.cnblogs.com/mysnowman/articles/5453926.html

https://blog.csdn.net/yuechuxuan/article/details/70176596

http基础知识

http://www.cnblogs.com/TomSnail/p/6078395.html

进阶篇

sql注入

命令执行

XSS

CSRF

越权

文件上传

文件包含

文件下载

逻辑漏洞

接口漏洞

信息泄露

综合利用

各大平台爆出的版本漏洞

（代码审计、漏洞分析、工具开发、防御绕过，这些每一点内容都不少，且须要代码功底）

高级篇

实战！

在补天、漏洞盒子等漏洞平台提交在实战中获取的漏洞。

在实战中请时刻记得《网络安全法》，不逾界。

番外篇

渗透环境

VMware

DVWA

Owasp

sqli-labs

Docker

工具

渗透系统：kali

渗透框架：metasploit

网络扫描：nmap

端口扫描：nmap

代理：burpsuit

暴力破解：medusa、burpsuite

FUZZ:sqlmap、metasploit

网络数据包分析：wireshark、burpsuite

爬虫：burpsuit、awvs、zap

子域名探测：子域名挖掘机、brust3r

目录扫描：御剑后台扫描、dirbrust

指纹扫描：御剑指纹识别系统、AppPrint

综合扫描器：zap、awvs、appscan、burpsuit、nmap、nessus

建议

渗透测试人员要尽量多的找到一个系统的漏洞，而真正想对漏洞知其因此然，必须学习编程技术。虽然说在渗透测试时没有代码功底也能出色的完成任务，但代码功底是菜鸟和大牛一个明显分水岭。

作web安全，我推荐的语言是以下搭配从前端到后端到数据库加上经常使用的脚本语言：

HTML + JavaScript + PHP + SQL和Python

网上的资料：http://www.w3school.com.cn/

建议有精力的去学习一下C语言和汇编 了解底层

 

我推荐阅读的书籍：

《代码审计》

《图解http》

《TCP/IP指南》

《python核心编程》

《wab安全深度剖析》

《白帽子讲web安全》

《namp渗透测试指南》

《鸟哥的linux私房菜》

《黑客攻防技术宝典web实战篇》

《sql注入与防护》

《xss跨站脚本攻击剖析与防护》

《python黑帽子》《python绝技》

《web渗透技术及实战案例解析》

破晓16级王宗树