截至到2018年底，我國(guó)網(wǎng)民規(guī)模已達(dá)8.02億人，居世界之首。這片虛擬土壤已經(jīng)涉足國(guó)人生活的方方面面，互聯(lián)網(wǎng)安全已不再是隱藏在角落的潛在需求，而是關(guān)乎8億中國(guó)人的安全保衛(wèi)戰(zhàn)。

互聯(lián)網(wǎng)極度發(fā)達(dá)衍生的開(kāi)放性和安全漏洞帶來(lái)的風(fēng)險(xiǎn)無(wú)處不在，黑客攻擊行為越加猖狂，組織性更強(qiáng)，作為一名Linux運(yùn)維小哥，我也是由原來(lái)的“受害者”誤打誤撞進(jìn)入Web安全領(lǐng)域。

[[262454]]

2015年初時(shí)，我學(xué)習(xí)Linux已有一段時(shí)間，有點(diǎn)基礎(chǔ)后便下載了一個(gè)CMS搭建博客，那會(huì)能搭建博客已經(jīng)夠自己臭屁的了，然而好景不長(zhǎng)，沒(méi)幾天我便發(fā)現(xiàn)博客網(wǎng)站無(wú)法正常打開(kāi)，刷新一下，彈了個(gè)框出現(xiàn)”hacked by xxx 聯(lián)系QQxxxxxxx”。

那個(gè)時(shí)候我寫代碼的標(biāo)準(zhǔn)是能運(yùn)行起來(lái)就謝天謝地了，安全啥的完全沒(méi)概念。一頭霧水的我登錄ftp，發(fā)現(xiàn)自己的首頁(yè)多了幾個(gè)陌生的文件，我~被掛馬了。

然后我還真的加了這個(gè)QQ，通過(guò)這個(gè)小老弟的動(dòng)態(tài)中看到了某知名Web安全社區(qū)，從此開(kāi)始關(guān)注Web網(wǎng)絡(luò)安全。

在安全行業(yè)摸爬滾打3年多，磕磕碰碰走到今天，真的不想新人再去試錯(cuò)，下面是我給大家分享小弟這幾年的學(xué)習(xí)經(jīng)驗(yàn)。

入門Web安全需要具備哪些基本技能?

• 想給網(wǎng)站彈個(gè)窗，獲取cookie?(JavaScript的基本語(yǔ)法要熟悉吧?)
• 想獲取到網(wǎng)站的用戶數(shù)據(jù)?(MySQL、MSSQL、Oracle、PostgrSQL基本操作命令你要懂吧?)
• 想通過(guò)命令執(zhí)行漏洞獲取服務(wù)器信息?(Linux的命令、目錄文件信息心里得有數(shù)吧?)
• 想搞清楚自己的網(wǎng)站為啥被人掛馬了?(webshell執(zhí)行原理不能不知道吧?)
• ...

知識(shí)面,決定看到的攻擊面有多廣。 知識(shí)鏈,決定發(fā)動(dòng)的殺傷鏈有多深。

一個(gè)合格的Web安全測(cè)試人員應(yīng)該具備以下技能：

A. 工具使用能力

工具讓每個(gè)人都有發(fā)現(xiàn)漏洞的機(jī)會(huì)，但真正掌握工具而不是被工具掌握的人才能成為優(yōu)秀的白帽子。工欲善其事必先利其器，好的安全測(cè)試工具可以幫助白帽子快速、有效的定位到漏洞可能存在的點(diǎn)，同時(shí)輔助Web安全測(cè)試人員完成漏洞利用(exp)和漏洞證明(poc)。所以，作為一名Web安全測(cè)試人員，熟練掌握各種安全測(cè)試軟件是基本功。

目前web安全測(cè)試人員常用的工具有：burpsuite、sqlmap、wireshark、fiddler、avws等，其中burpsuite和sqlmap是漏洞挖掘過(guò)程中使用最多也是高效的神器。

B. 編程能力

只有漏洞原理了然于胸，才能做到隨手撿洞。只有自己具備編寫工具的能力，才能做到不被工具束縛。

另外，雖然CC ++JAVA 這些編程語(yǔ)言在Web安全測(cè)試中都可以寫出很多強(qiáng)大的工具(比如業(yè)內(nèi)最知名的工具burpsuite就是使用Java語(yǔ)言編寫的) ，但是這些語(yǔ)言對(duì)于初學(xué)者來(lái)說(shuō)并不友好，要達(dá)到上手使用的程度往往需要花費(fèi)大量的時(shí)間和精力，所以我并不推薦新手在初學(xué)階段去學(xué)習(xí)這些語(yǔ)言。

我建議大家學(xué)習(xí)python，因?yàn)橄鄬?duì)而言Python代碼簡(jiǎn)潔，學(xué)習(xí)難度小，而且Python程序小巧、占用系統(tǒng)資源少、可移植性強(qiáng)。

對(duì)于Web安全人員來(lái)說(shuō)，Python就像是普羅米修斯手里的火種，它擁有很多可能。

C. 代碼審計(jì)能力

廠商現(xiàn)在對(duì)于安全的重視，使得很多時(shí)候僅憑黑盒測(cè)試無(wú)法做到全方位的安全評(píng)估，這個(gè)時(shí)候就需要我們具備一定的代碼審計(jì)能力對(duì)項(xiàng)目進(jìn)行白盒測(cè)試。通過(guò)分析源代碼，有針對(duì)性的對(duì)一些可能存在漏洞的點(diǎn)進(jìn)行審計(jì)，實(shí)現(xiàn)高效精準(zhǔn)測(cè)試。

另外，很多廠商的生產(chǎn)環(huán)境都會(huì)使用一些開(kāi)源服務(wù)，當(dāng)挖掘漏洞過(guò)程中遇到瓶頸時(shí)，審計(jì)這些開(kāi)源服務(wù)往往也是一個(gè)突破口。

D. 洞察能力

Web安全是一個(gè)需要不斷學(xué)習(xí)的技術(shù)，Web安全測(cè)試人員要與時(shí)俱進(jìn)，時(shí)刻關(guān)注新漏洞動(dòng)態(tài)。

很多時(shí)候一些影響力大的漏洞都是從國(guó)外披露的，所以我們也應(yīng)該具備隨時(shí)獲取全球Web安全資訊(科學(xué)上網(wǎng)和英語(yǔ)基礎(chǔ))的能力。

E. 懂法守法

任何未經(jīng)授權(quán)的滲透測(cè)試行為都可以構(gòu)成犯罪，作為一名Web安全測(cè)試人員，必須懂得用法律保護(hù)自己，同時(shí)也保證不觸犯法律。

F. 報(bào)告文檔編寫能力

懂得如何寫出一份完整有效的漏洞報(bào)告，可以在節(jié)省你和廠商的時(shí)間同時(shí)也提高雙方的工作效率。

這里給出我個(gè)人的學(xué)習(xí)路線建議：

這里針對(duì)上述各種能力，我匯總了一個(gè)思維導(dǎo)圖，學(xué)習(xí)資源的具體獲取方式都可以在搜索引擎中獲取到。當(dāng)然，要是有一些靠譜的Web安全工程師帶是好的。