入门web安全的最佳途径
2022-9-29 09:12:14 Author: 信安之路(查看原文) 阅读量:13 收藏

每一个已经入门一个领域的人都有自己的一套入门方法,在无人指点的情况下,通过自己的摸索加上努力的沉淀逐渐成为一个领域的专家,从入门到成为专家也只是时间的问题,如果有高人指点,那么入门的时间会大大缩短,将那些无意义且浪费时间的部分忽略掉,从而以最短的时间获得最高的收益。

今天分享的一套学习路径,我认为是最好最有效的,可能不适用于所有人,只要有人从中受益,那么今天的分享就是价值的,那么如何更好更有效的入门 web 安全呢?你是如何入门的,欢迎评论区分享。

第一个小目标:编写一个 web 应用系统

首先 web 安全是什么?web 安全的主体是 web 系统,当你对 web 系统都不熟悉的情况下,如何做好 web 安全呢?所以我们入门 web 安全的第一步是熟悉 web 系统,了解 web 系统由哪些组件构成,不同组件的作用是什么,然后是有哪些功能,如何实现的。

如何快速了解 web 系统?我认为编写一个 web 系统是最快速,最有效的方式,在这个过程中,你需要学习:

1、web 系统的中间件服务器,如何搭建,如何配置

2、http 协议原理,看得懂网站交互的数据包

3、前端技术,html、css、javascript 之间的关系,前端常见框架等

4、后端技术,与数据库交互、文件操作等功能的实现原理,以及后端语言有哪些

5、编程技术,选定后端语言后如何实现功能,也就是编程算法

有了这些基础之后,再去理解漏洞的原理和漏洞的测试方法,将会事半功倍,所以初学者入门 web 安全需要制定的第一个小目标就是,自己编写一个简易的 web 系统,功能可以不多,但是要覆盖最常见的功能,至于编程语言的选定,根据自身的兴趣而定,比如 php+mysql+nginx+apache、java+tomcat+spring+mysql、asp.net+iis+mssql 等。

第二个小目标:学习漏洞原理,发现自己网站的漏洞

第一个小目标最关注的是功能的实现,对于安全无需过多考虑,不然整个时间线就拉长,可以选在在特定的时间完成特定的事情,让学习更加聚焦。在此基础上,你开发的网站可能会存在各种各样的漏洞,接下来的目标就是通过漏洞的学习来发现自己网站的所有漏洞。

因为系统是由你开发的,所有的功能和代码都是由你编写,这套系统,没有人会比你更加熟悉,所以在学习漏洞原理的时候,思考自己在处理相关问题时是否存在相应的问题,然后进行测试,发现漏洞之后,试着根据漏洞原理去修复该问题。

在实际的渗透测试过程中,了解系统的功能、架构是第一步,只有这样才能更好的测试和发现网站的隐藏漏洞,这是一个非常好的积累漏洞知识的过程。

你的系统可能不会覆盖所有漏洞,所以可以基于漏洞列表进行一一学习测试,直到将所有漏洞学习测试完毕,然后整理出自己的测试列表,记录测试的种类、方法、步骤,这个在你未来的工作中也可以一一对照进行测试。

第三个小目标:选择 SRC 目标系统,一一测试,直到发现漏洞

前两个目标都是在学习积累,第三个目标就是实战,通过自己的技术积累,让其发挥价值,发现企业的漏洞,并报告,获得第一份赏金漏洞。

在第二个小目标学习的过程中,你已经有了一个测试的检查项列表,也就是针对任意网站,你已经知道如何测试,测试哪些内容,接下来就是要获取目标列表,然后一一测试,所以这个目标的关键是获取目标列表。

渗透测试的第一步是信息收集,要基于企业域名扩展更多的网站,那么如何信息收集就是这个目标的关键,这个目标更贴近实战,去选择一个 SRC 作为目标,然后收集其所有子域名、IP 信息,将该企业的所有边界网站整理出来,然后套用第二个目标的检查项进行一一测试,我相信,你一定可以找到漏洞。

总结

经过这个三个目标的洗礼,你一定可以入门 web 安全,而且会是一个技术能力很强的人,能完整实现三个目标的人,我认为是比较少的,在如今大环境如此不好的前提下,积累自身能力是最重要的事情,让你即使在如此不好的环境下也能找到非常好的工作,如果你想跟更多小伙伴一起学习,欢迎扫描下方二维码加入我们,一起学习提升。


文章来源: http://mp.weixin.qq.com/s?__biz=MzI5MDQ2NjExOQ==&mid=2247498012&idx=1&sn=b099350cb70f13b62b979d247e82a57d&chksm=ec1dc934db6a40226e061cc9a7de12444558ecb423263089dae76db7352430b0e914dbbc99aa#rd
如有侵权请联系:admin#unsafe.sh