Web安全零基础学习

遵循 **"原理->工具->靶场->实战"**​ 的框架，你可以系统性地掌握。以下是为你规划的清晰路线图。

第一阶段：基础认知与环境搭建（第1-2周）

目标：理解Web如何工作，并建好"练功房"。

1. 核心原理：

   • Web三要素：明白浏览器、服务器、数据库之间如何交互（一次点击背后发生了什么）。

   • HTTP/HTTPS协议：理解URL结构、请求方法（GET/POST）、状态码（200、404、500）、Cookie/Session的作用。这是所有Web通信的基石。

   • 前端基础：了解HTML、JavaScript能做什么，知道它们如何在浏览器运行。

2. 搭建学习环境：

   • 在电脑上安装 虚拟机 ，并部署 Kali Linux。这是安全从业者的标准工具库。

   • 在虚拟机中安装 DVWA ​ 或 bWAPP​ 漏洞靶场。这是你未来所有的练习场。

第二阶段：核心漏洞原理与手动实践（第3-8周）

目标：掌握OWASP Top 10中最关键的漏洞，并能在靶场上手动利用。

这是学习的核心阶段，务必逐个击破。

漏洞名称	核心思想	你的第一个攻击动作（在DVWA"Low"等级下）
1. SQL注入​	用户输入"污染"了数据库查询语句。	在输入框输入：'或 1' and '1'='1，观察页面变化。
2. 跨站脚本​	恶意脚本在受害者浏览器中执行。	在输入框输入：<script>alert('xss')</script>，看是否弹窗。
3. 跨站请求伪造​	诱骗用户浏览器执行非本意的操作。	在已登录状态下，诱导用户访问一个伪造的转账链接。
4. 文件上传漏洞​	上传了可被服务器执行的文件。	尝试将一句话木马写入图片，然后上传。
5. 越权访问​	看到了/操作了本不该有权限的数据。	登录用户A后，修改URL中的user_id参数，尝试访问用户B的数据。

学习方式：针对每个漏洞，完成"理解概念->在靶场复现->尝试防御（调高靶场难度）"的闭环。

第三阶段：掌握核心工具（第9-12周）

目标：让工具成为你能力的延伸，极大提升效率。

1. Burp Suite ：Web安全测试的"瑞士军刀"。你必须精通。

   • Proxy：拦截、查看、修改所有浏览器流量。

   • Repeater：对单个请求反复修改和重放，用于精细测试。

   • Intruder：进行自动化爆破（如爆破密码、验证码）。

   • Scanner：自动化漏洞扫描（了解原理，勿完全依赖）。

2. 浏览器开发者工具 ：按F12，重点使用 Network ​ 标签查看所有请求，Console​ 标签调试JavaScript。

3. 其他工具：Nmap（端口扫描）、Dirsearch（目录爆破）、Sqlmap（SQL注入自动化），在需要时边用边学。

第四阶段：体系化实战与升华（第13周起）

目标：将分散的知识串联起来，形成真正的攻击能力。

1. 综合靶场攻坚：

   • PortSwigger Web Security Academy：免费、有详细讲解和在线实验室，是绝佳的进阶路径。

   • HackTheBox / TryHackMe：从TryHackMe的"Beginner Path"开始，像玩游戏一样完成一个个渗透挑战。

2. 参与合法实战：

   • SRC ：在腾讯、阿里等大型企业的安全应急响应中心提交漏洞。这是最高效的实战，且有回报。

   • 众测平台：在漏洞盒子、补天等平台，从新手项目开始尝试。

3. 建立知识体系：

   • 搭建个人笔记（如用Obsidian、Notion），记录每个漏洞的原理、Payload、绕过技巧和案例。

   • 关注安全社区（安全客、Seebug Paper）、优秀博客，学习前沿思路。

给你的零基础启动清单

1. 本周：弄懂HTTP请求/响应格式，在虚拟机中成功运行DVWA。

2. 第一个月：集中学习SQL注入和XSS，在DVWA上能完成从注入到拖库的全过程。

3. 第二个月：熟练使用Burp Suite的Proxy和Repeater模块，并学习文件上传和越权漏洞。

4. 第三个月：在PortSwigger Academy上完成至少20个实验室挑战。

5. 持续进行：每天花1小时阅读一篇高质量漏洞分析报告。

最重要原则 ：**一切练习必须在你自己搭建的虚拟机靶场或明确授权的平台上进行！**​ 保持好奇心，享受解谜的乐趣，Web安全的大门已为你打开。