以下是Web安全专项学习步骤，聚焦实战能力培养，分为4个阶段+资源清单**，适合从入门到进阶。重点培养漏洞挖掘能力与防御方案设计双重视角：
---
阶段1：Web技术筑基（1-2个月）
| 领域 | 关键技能 | 工具/资源 |
|----------------|----------------------------|---------------------------------------------------------------------|
| HTTP协议 | Header/Body/Cookie）<br>• 请求方法（GET/POST/PUT）<br>• 状态码（200/302/403/500） | [HTTP协议图解](https://developer.mozilla.org/zh-CN/docs/Web/HTTP)<br>Burp Suite Repeater模块 |
| 前端基础 | • HTML表单与DOM树<br>• JavaScript同源策略<br>• Cookie/Session机制 | W3School HTML+JS教程<br>浏览器开发者工具（Elements/Console） |
| 后端基础 | • SQL数据库基础操作<br>• 服务端框架路由原理（如Flask/Django）<br>• API交互模式 | [SQLZoo练习平台](https://sqlzoo.net/)<br>[Postman接口测试工具](https://www.postman.com/) |
| 调试工具 | • 浏览器开发者工具网络抓包<br>• Burp Suite代理配置与数据拦截 | Chrome DevTools<br>[Burp Suite Community版](https://portswigger.net/burp/communitydownload) |
> 目标：手动构造HTTP请求修改参数，理解数据流传递过程
---
阶段2：OWASP Top 10实战（3-4个月）
mermaid
graph TD
A[OWASP核心漏洞] --> B[注入攻击]
A --> C[跨站脚本-XSS]
A --> D[失效访问控制]
A --> E[安全配置错误]
A --> F[逻辑漏洞]
B --> B1(SQL注入/命令注入)
C --> C1(存储型/反射型/DOM型XSS)
F --> F1(越权访问/支付漏洞)
| 漏洞类型 | 攻击方法 | 实验靶场 |
|------------------|-----------------------------------------------|-------------------------------------------------------|
| SQL注入 | • 联合查询注入<br>• 布尔盲注<br>• 时间盲注 | [PortSwigger SQLi Labs](https://portswigger.net/web-security/sql-injection) |
| XSS | • 窃取Cookie<br>• DOM污染<br>• 构造钓鱼页面 | [XSS Game by Google](https://xss-game.appspot.com/) |
|CSRF/SSRF | • 伪造请求转账<br>• 内网服务探测 | [WebGoat](https://github.com/WebGoat/WebGoat) |
| 文件漏洞 | • 路径遍历<br>• 文件上传绕过（.htaccess/.php5） | [Upload Labs](https://github.com/c0ny1/upload-labs) |
> 工具深化：
> - SQLMap（自动化注入）
> - XSStrike（高级XSS检测）
> - Burp Collaborator（SSRF/盲注验证）
---
阶段3：漏洞挖掘进阶（2-3个月）
能力提升重点：
diff
+ 从「已知漏洞利用」转向「未知漏洞发现」
+ 从「工具依赖」转向「手动代码审计」
```
| 技术方向 | 方法论 | 实战训练 |
|--------------------|----------------------------------------------------|----------------------------------------------------|
| 逻辑漏洞挖掘 | • 业务流逆向分析（如注册/支付流程）<br>• 参数篡改（IDOR/定价修改） | 漏洞赏金平台（HackerOne/Bugcrowd） |
| API安全 | • JWT令牌破解<br>• GraphQL注入<br>• OAuth2配置错误 | [APISec University](https://university.apisec.ai/) |
| 代码审计 | • PHP危险函数（eval/assert）<br>• Java反序列化链<br>• Node.js原型污染 | [PHP-Audit-Labs](https://github.com/hongriSec/PHP-Audit-Labs) |
| WAF绕过 | • 混淆SQL语句（内联注释/空白符）<br>• XSS编码绕过（HTML实体/JS Unicode） | [WAF Bypass Playground](https://github.com/0xInfection/Awesome-WAF) |
---
阶段4：防御体系构建（持续进行）
构建安全开发闭环：
1. SDLC集成：在开发流程中加入安全环节（SAST/DAST扫描）
2. 防护方案：
- SQL注入 → 预编译语句（Prepared Statements）
- XSS → CSP策略 + 输出编码
- CSRF → Anti-CSRF Token + SameSite Cookie
3. 监控响应：
- WAF日志分析（ModSecurity）
- RASP（运行时应用自保护）
---
资源工具箱
| 类型 | 推荐资源 |
|----------------|-----------------------------------------------------------------------------------------------------|
| 综合靶场 | [PortSwigger Web Security Academy](https://portswigger.net/web-security) |
| CTF平台 | [CTFlearn](https://ctflearn.com/)（Web专项挑战） |
| 漏洞赏金 | [Hacker101](https://www.hacker101.com/)（免费课程+实战靶机） |
| 代码审计 | [Damn Vulnerable Web App](https://github.com/digininja/DVWA) |
| 书籍 | 《Web Application Hackers Handbook》 |
---
关键原则
1. 合法授权：仅测试授权目标（如Bug Bounty项目/Vulnhub靶机）
2. 深度>广度：精通SQL注入/XSS/越权三大核心漏洞，比浅尝10种漏洞更有价值
3. 工具双刃剑：Burp Suite自动化扫描是辅助，**手动验证**才能发现逻辑漏洞
职业路径：Web安全工程师 → 渗透测试工程师 → 安全研发架构师
能力标志：独立提交高危漏洞（CVE编号）或通过OSWE认证（Offensive Security Web Expert）
> “真正的Web安全专家能看到代码背后的风险链路，从用户输入到数据库查询，从前端渲染到API通信，每一步都是攻防战场。”
)
)
