遵循 **"原理->工具->靶场->实战"** 的框架，你可以系统性地掌握。以下是为你规划的清晰路线图。
第一阶段：基础认知与环境搭建（第1-2周）
目标：理解Web如何工作，并建好"练功房"。
-
核心原理：
-
Web三要素：明白浏览器、服务器、数据库之间如何交互（一次点击背后发生了什么）。
-
HTTP/HTTPS协议：理解URL结构、请求方法（GET/POST）、状态码（200、404、500）、Cookie/Session的作用。这是所有Web通信的基石。
-
前端基础：了解HTML、JavaScript能做什么，知道它们如何在浏览器运行。
-
-
搭建学习环境：
-
在电脑上安装 虚拟机 ，并部署 Kali Linux。这是安全从业者的标准工具库。
-
在虚拟机中安装 DVWA 或 bWAPP 漏洞靶场。这是你未来所有的练习场。
-
第二阶段：核心漏洞原理与手动实践（第3-8周）
目标：掌握OWASP Top 10中最关键的漏洞，并能在靶场上手动利用。
这是学习的核心阶段，务必逐个击破。
| 漏洞名称 | 核心思想 | 你的第一个攻击动作（在DVWA"Low"等级下） |
|---|---|---|
| 1. SQL注入 | 用户输入"污染"了数据库查询语句。 | 在输入框输入：'或 1' and '1'='1，观察页面变化。 |
| 2. 跨站脚本 | 恶意脚本在受害者浏览器中执行。 | 在输入框输入：<script>alert('xss')</script>，看是否弹窗。 |
| 3. 跨站请求伪造 | 诱骗用户浏览器执行非本意的操作。 | 在已登录状态下，诱导用户访问一个伪造的转账链接。 |
| 4. 文件上传漏洞 | 上传了可被服务器执行的文件。 | 尝试将一句话木马写入图片，然后上传。 |
| 5. 越权访问 | 看到了/操作了本不该有权限的数据。 | 登录用户A后，修改URL中的user_id参数，尝试访问用户B的数据。 |
学习方式：针对每个漏洞，完成"理解概念->在靶场复现->尝试防御（调高靶场难度）"的闭环。
第三阶段：掌握核心工具（第9-12周）
目标：让工具成为你能力的延伸，极大提升效率。
-
Burp Suite ：Web安全测试的"瑞士军刀"。你必须精通。
-
Proxy：拦截、查看、修改所有浏览器流量。
-
Repeater：对单个请求反复修改和重放，用于精细测试。
-
Intruder：进行自动化爆破（如爆破密码、验证码）。
-
Scanner：自动化漏洞扫描（了解原理，勿完全依赖）。
-
-
浏览器开发者工具 ：按F12，重点使用 Network 标签查看所有请求，Console 标签调试JavaScript。
-
其他工具：Nmap（端口扫描）、Dirsearch（目录爆破）、Sqlmap（SQL注入自动化），在需要时边用边学。
第四阶段：体系化实战与升华（第13周起）
目标：将分散的知识串联起来，形成真正的攻击能力。
-
综合靶场攻坚：
-
PortSwigger Web Security Academy：免费、有详细讲解和在线实验室，是绝佳的进阶路径。
-
HackTheBox / TryHackMe：从TryHackMe的"Beginner Path"开始，像玩游戏一样完成一个个渗透挑战。
-
-
参与合法实战：
-
SRC ：在腾讯、阿里等大型企业的安全应急响应中心提交漏洞。这是最高效的实战，且有回报。
-
众测平台：在漏洞盒子、补天等平台，从新手项目开始尝试。
-
-
建立知识体系：
-
搭建个人笔记（如用Obsidian、Notion），记录每个漏洞的原理、Payload、绕过技巧和案例。
-
关注安全社区（安全客、Seebug Paper）、优秀博客，学习前沿思路。
-
给你的零基础启动清单
-
本周：弄懂HTTP请求/响应格式，在虚拟机中成功运行DVWA。
-
第一个月：集中学习SQL注入和XSS，在DVWA上能完成从注入到拖库的全过程。
-
第二个月：熟练使用Burp Suite的Proxy和Repeater模块，并学习文件上传和越权漏洞。
-
第三个月：在PortSwigger Academy上完成至少20个实验室挑战。
-
持续进行：每天花1小时阅读一篇高质量漏洞分析报告。
最重要原则 ：**一切练习必须在你自己搭建的虚拟机靶场或明确授权的平台上进行！** 保持好奇心，享受解谜的乐趣，Web安全的大门已为你打开。