Web新手入门

admin 2022年5月17日12:10:11安全博客评论6 views2663字阅读8分52秒阅读模式

        也常常有人问道过我Web该如何入门,给刚刚入门的小白的一篇文章,科普文章,没有什么阅读的门槛,读读可以涨姿势。Web安全是一个比较广泛的范围,文章的篇幅有限,所以我并不会介绍很具体很详细的漏洞利用。而是要更概括性的更抽象地介绍Web安全的学习方法。别听到抽象就觉得艰难,其实就是给点通用的学习方法和学习路线,这个对于小白益处很大,不会迷失在人生的道路上。
        在介绍Web安全之前,我觉得要学习另外一个东西,就是学习能力。如何快速地从网络,从文章上吸收到知识,掌握某种技巧。有个学长说过:大学拼的是学习力,而不是学历。提高自己获取知识的能力不失为一种捷径。那该如何掌握呢?这是个网络的时代,通过网络使用搜索技巧,我们可以快速搜索到一些资源,甚至发展出了一门特殊的技巧google hacking。利用特殊的谷歌语法,可以搜索到网络你所需要的特殊资源,比如在谷歌中搜索site:pan.baidu.com torrent 就可以搜索到百度网盘网站上的东西,还有torrent内容的东西,然后你懂的。有的同学说谷歌被墙了,http://209.116.186.246就是还可用的谷歌镜像网站。其实就是掌握一些语法,学会浓缩出关键字进行检索,达到快速找到你所需要的资源。
        还有一个能力就是能解决实际的问题,大一的时候我们会学习C语言,编译出错会有提示,我们该如何解决它呢?这可能只是有个小问题,但是却是解决很多问题共同的思路。我们先要收集相关的信息,我们犯过的错误别人也很可能犯过,网络上可能就会有相关的解决方法,从而了解是哪里出错了。暂时先别直接就去问人,学会自己去处理,莫做伸手党。比较难的是那种小众的问题,没有现成的解决方法,这个时候就需要自己去进行基础相关知识的快速学习、快速积累。达到可以解决这个问题的程度,方法也是通过检索相关周边、基础知识来完成的。自己实在无论如何都解决不了了,先问问自己对于问题了解到了何种程度再去请教别人。推荐个好东西,提问的智慧 论如何正确的提问。
        文章写了很多其实都还没提到Web安全,其实大一还要掌握好C语言,对于之后的编程学习有很大的益处,毕竟可能会是很多人的第一门编程语言。多去动手编程,只有在动手的过程中才会知道可能遇到什么问题,该去怎么解决,下次遇到就可以很快的秒杀类似的问题了。安全圈的元老黑哥说过:整就牛。实践实践实践不断地实践,然后总结思考,才能提升编程能力。一本编程书看过去了,可能没什么留在脑海,要自己动手才能很好的进行记忆。Web安全其实也是很考经验的,你遇到过很多奇奇怪怪的环境,自己下次遇到就会有经验,毕竟见多识广。所以要自己多动手,多去实践,多去搞站,才能快速提升自己的渗透水平。其实从前期从80端口 http服务进行入侵,也就是俗称的搞站,到提高后利用其他的开发服务来进行渗透,都是可以利用前面的学习方法来学习的。要多百度多google才能开阔眼界。google是最好的老师。
        了解web应用的各种常见漏洞(知道是什么,如何形成):SQL注入、XSS、CSRF、上传漏洞、解析漏洞、任意文件包含漏洞、点击劫持、弱口令、cookie欺骗等。可以自己去尝试搜索这些关键字来进行检索,收集信息进行学习。还要学会自己搭建环境进行测试,有个好东西就是虚拟机vmware,利用这个软件,你可以搭建多种不同的系统在你的计算机上,进行模拟真实环境的测试。有时候,我们在搞站的时候是很危险的,也可能会是没有收获的。一种安全的方法就是利用 乌云公布出来的漏洞进行测试,自己搭建环境来测试通用型的漏洞,自己搭建iis服务器或者是wamp集成环境来进行测试,从而达到不违法的情况下又可以练习的目的。
        简单介绍一个常见的Web渗透流程,就是通过sql注入漏洞来进行注入攻击,可以获取数据库的信息。数据库的信息里又有网站的后台管理员的账号密码,从而顺利进入了后台。然后在后台管理员是要发布一些照片或者是资料之类的,利用这个上传功能配合解析漏洞可以顺利拿到webshell,然后就是利用本地提权漏洞来进行权限的提升,提升到system的程度,后来就可以任意xxoo了,进入内网。这里没接触过的人可能会觉得云里雾里的,没事,一开始我也是这样子的,多去百度这些相关的知识,看文章积累,建立起一个Web安全的体系后,自己遇到了相关的知识就知道该往知识体系中的哪里进行填充了,遇到新知识也不会混乱了,因为你知道知识该在哪里。
        最后来聊聊Web的进阶吧,一个方向是代码审计,就是对CMS进行审计,通过阅读代码进行白盒的测试,测试发现漏洞,这个方向需要比较扎实的代码能力。还有一个方向是内网渗透方向,这个方向是在Web撕出了口子进入了内网之后再进行渗透攻击。也是很火的一个方向,这个需要你有猥琐的思路和丰富的经验。相信你学习了这一步也可以会有自己的选择和方向的。
最后来推荐一些博客、网站、书籍、教程之类的。

博客:
        http://syclover.sinaapp.com/ 三叶草小组的博客
        http://appleu0.sinaapp.com/ AppLeU0的博客 我最喜欢给我的博客打广告了
        http://laterain.sinaapp.com/ Laterain的博客 我是白神的脑残粉

网站:
        http://www.wooyun.org/ 乌云漏洞提交平台
        http://drops.wooyun.org/ 乌云知识库
        http://www.freebuf.com/ 黑客与极客
        https://www.90sec.org/ 90sec团队
        http://www.f4ck.org/ 法克论坛
        https://www.t00ls.net 吐司论坛

书籍:
        《黑客攻防技术宝典 Web实战篇》 很详细的书,厚厚一本,慢慢啃
        《白帽子讲Web安全》 难度有点高,适合有一定经验的人阅读,很好的书
        《黑客大曝光:网络安全机密与解决方案》 找找新的版本,更新比较多的书

教程:
        网站入侵学习入门到高手所有重点难点视频推荐

最后用学长告诉过我的一句话来结尾吧~ 发现大师,跟随大师,成为大师,超越大师。

FROM :appleu0.sinaapp.com | Author:appleu0

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月17日12:10:11
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  Web新手入门 http://cn-sec.com/archives/1012311.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: