Web安全学习步骤

以下是**Web安全专项学习步骤**，聚焦**实战能力培养**，分为**4个阶段+资源清单**，适合从入门到进阶。重点培养**漏洞挖掘能力**与**防御方案设计**双重视角：

---

🔰 **阶段1：Web技术筑基（1-2个月）**

| **领域** | **关键技能** | **工具/资源** |

|----------------|-----------------------------------------------------------------------------|------------------------------------------------------------------------------|

| **HTTP协议** | • 报文结构（Header/Body/Cookie）<br>• 请求方法（GET/POST/PUT）<br>• 状态码（200/302/403/500） | [HTTP协议图解](https://developer.mozilla.org/zh-CN/docs/Web/HTTP)<br>Burp Suite Repeater模块 |

| **前端基础** | • HTML表单与DOM树<br>• JavaScript同源策略<br>• Cookie/Session机制 | W3School HTML+JS教程<br>浏览器开发者工具（Elements/Console） |

| **后端基础** | • SQL数据库基础操作<br>• 服务端框架路由原理（如Flask/Django）<br>• API交互模式 | [SQLZoo练习平台](https://sqlzoo.net/)<br>[Postman接口测试工具](https://www.postman.com/) |

| **调试工具** | • 浏览器开发者工具网络抓包<br>• Burp Suite代理配置与数据拦截 | Chrome DevTools<br>[Burp Suite Community版](https://portswigger.net/burp/communitydownload) |

> **💡 目标**：手动构造HTTP请求修改参数，理解数据流传递过程

---

⚔️ **阶段2：OWASP Top 10实战（3-4个月）**

```mermaid

graph TD

A[OWASP核心漏洞] --> B[注入攻击]

A --> C[跨站脚本-XSS]

A --> D[失效访问控制]

A --> E[安全配置错误]

A --> F[逻辑漏洞]

B --> B1(SQL注入/命令注入)

C --> C1(存储型/反射型/DOM型XSS)

F --> F1(越权访问/支付漏洞)

| **漏洞类型** | **攻击方法** | **实验靶场** |

|----------------|---------------------------------------------|-----------------------------------------------------------------------------|

| **SQL注入** | • 联合查询注入<br>• 布尔盲注<br>• 时间盲注 | [PortSwigger SQLi Labs](https://portswigger.net/web-security/sql-injection) |

| **XSS** | • 窃取Cookie<br>• DOM污染<br>• 构造钓鱼页面 | [XSS Game by Google](https://xss-game.appspot.com/) |

| **CSRF/SSRF** | • 伪造请求转账<br>• 内网服务探测 | [WebGoat](https://github.com/WebGoat/WebGoat) |

| **文件漏洞** | • 路径遍历<br>• 文件上传绕过（.htaccess/.php5） | [Upload Labs](https://github.com/c0ny1/upload-labs) |

> **🔧 工具深化**：

> - SQLMap（自动化注入）

> - XSStrike（高级XSS检测）

> - Burp Collaborator（SSRF/盲注验证）

---

🔍 **阶段3：漏洞挖掘进阶（2-3个月）**

**能力提升重点**：

```diff

• 从「已知漏洞利用」转向「未知漏洞发现」

• 从「工具依赖」转向「手动代码审计」

```

| **技术方向** | **方法论** | **实战训练** |

|--------------------|--------------------------------------------------------------------------|---------------------------------------------------------|

| **逻辑漏洞挖掘** | • 业务流逆向分析（如注册/支付流程）<br>• 参数篡改（IDOR/定价修改） | 漏洞赏金平台（HackerOne/Bugcrowd） |

| **API安全** | • JWT令牌破解<br>• GraphQL注入<br>• OAuth2配置错误 | [APISec University](https://university.apisec.ai/) |

| **代码审计** | • PHP危险函数（eval/assert）<br>• Java反序列化链<br>• Node.js原型污染 | [PHP-Audit-Labs](https://github.com/hongriSec/PHP-Audit-Labs) |

| **WAF绕过** | • 混淆SQL语句（内联注释/空白符）<br>• XSS编码绕过（HTML实体/JS Unicode） | [WAF Bypass Playground](https://github.com/0xInfection/Awesome-WAF) |

---

🛡️ **阶段4：防御体系构建（持续进行）**

**构建安全开发闭环**：

1. **SDLC集成**：在开发流程中加入安全环节（SAST/DAST扫描）

2. **防护方案**：

• SQL注入 → 预编译语句（Prepared Statements）

• XSS → CSP策略 + 输出编码

• CSRF → Anti-CSRF Token + SameSite Cookie

3. **监控响应**：

• WAF日志分析（ModSecurity）

• RASP（运行时应用自保护）

---

🧰 **资源工具箱**

| **类型** | **推荐资源** |

|----------------|-----------------------------------------------------------------------------|

| **综合靶场** | [PortSwigger Web Security Academy](https://portswigger.net/web-security)（免费+实验指导） |

| **CTF平台** | [CTFlearn](https://ctflearn.com/)（Web专项挑战） |

| **漏洞赏金** | [Hacker101](https://www.hacker101.com/)（免费课程+实战靶机） |

| **代码审计** | [Damn Vulnerable Web App](https://github.com/digininja/DVWA)（PHP漏洞集合） |

| **书籍** | 《Web Application Hackers Handbook》（黑客圣经）<br>《白帽子讲Web安全》（吴翰清） |

---

⚠️ **关键原则**

1. **合法授权**：仅测试授权目标（如Bug Bounty项目/Vulnhub靶机）

2. **深度>广度**：精通SQL注入/XSS/越权三大核心漏洞，比浅尝10种漏洞更有价值

3. **工具双刃剑**：Burp Suite自动化扫描是辅助，**手动验证**才能发现逻辑漏洞

**职业路径**：Web安全工程师 → 渗透测试工程师 → 安全研发架构师

**能力标志**：独立提交高危漏洞（CVE编号）或通过OSWE认证（Offensive Security Web Expert）

> "真正的Web安全专家能看到代码背后的风险链路，从用户输入到数据库查询，从前端渲染到API通信，每一步都是攻防战场。"