web安全知识学习（理论期）

学习web安全基础知识、html语言、python、java、数据库等等。另外端口也可以学习一下3306、3389等端口的利用。（具体可以参考雨笋教育课程学习路线内容）

web基础/渗透环境搭建/常用工具

1.渗透环境搭建必不可少的，最快捷的方法是装一个kalilinux的虚拟机，不需要配置过多的环境和工具，系统全部自带，很多小白入门就是从kali开始学习。

2.常用工具使用，例如：注入工具学习sqlmap、burpsuite、Metasploit、nmap、beef、AWVS、wireshark等，利用工具来辅助完成渗透测试工作（工具需要配置环境，例如sqlmap需要python环境才能够使用，小白配置起来比较鸡肋，雨笋教育配备了所有工具包，可领取工具包，不用担心学习卡壳）。

owasp top 10漏洞

SQL注入

失效身份验证和会话管理

敏感信息泄露

XML外部实体注入攻击（XXE）

存取控制中断

安全性错误配置

跨站脚本攻击（XSS）

不安全的反序列化

使用具有已知漏洞的组件

日志记录和监控不足

以上基础知识是作为一名网络安全技术人员必须要会的技能，当精通这些漏洞原理、挖掘、利用、修复方法后，建议每个漏洞都确保拥有实战能力，即能够在靶场上复现，掌握以后再进行下一步的学习，就可以尝试在合规的情况下对一些中小型网站进行渗透。

漏洞挖掘（初期实战）

Google hacker

可能大部分同学在还没有听说过，学过谷歌语法，认为它的功能一般，没有什么大用处，但其实不然，大部分情况下的漏洞还是得靠谷歌语法。很多同学可能看了一些SRC大佬的回答或者文章，就直接在网上找一些企业、学校，政府等平台进行渗透测试，这种行为无疑是错误的，且不说没有经验，一上来就渗透大平台，对于一个新手来说，能有多大收获呢？SRC大佬的水平和方法并不一定适用于你。

对于新手而言，更多还是用谷歌语法去找漏洞，比如找逻辑漏洞（短信轰炸）就intitle:注册 inurl://edu.cn 这个语法如果看不懂建议回炉重造，这是最基本的，查找教育机构逻辑漏洞的一个简单谷歌语法，又或者你要挖注入，那就inurl:asp?id= ，这样去挖洞的效率绝对比在网上瞎找要好，谷歌语法可以帮助我们筛选网站，我们可以根据不同漏洞URL特征、网站内容、标题等，利用谷歌语法来查找相关网站去进行渗透测试，这个对于小白挖洞来说非常重要。

网站信息采集

挖不到漏洞除了思路、技术问题、被其他渗透人员挖完等问题外，还有一点信息采集不到位，信息收集可能微不足道，没什么作用，但有时却能决定本次渗透能否成功，所以一定要事先做好信息采集工作，像whois、端口、目录、子域名、邮箱枚举等手段。也可以利用fofa平台（近期好像暂停开放）和shodan进一步去信息采集，相关工具有nmap、Scapy等等。

学了这么多，还是挖不到漏洞怎么办？

那就要反思学习方法，如果根本没实践过，需要先把靶场练好再去实战，如果靶场可以成功，但还是这个情况，你就要反思漏洞知识你是否真正掌握了，还是只学了个肌肉记忆？当你掌握以后配合Googlehacker和信息采集，想要挖到漏洞简直就是轻而易举。

想要学习更全面、更专业的知识，利用合适的时间达到理想的学习效果，作为一个网安从业人员建议参考一下培训班的的专业学习路线。通过系统学习参与项目实践效果更佳，周期短，也更容易坚持下来，而且有更好的学习资源提供给学员，避免走很多弯路。