WEB安全入门建议

前言

Web入门文章一直想写一篇，但是一直没写，也犹豫了很多，毕竟对于入门文章太多了，但是我还是想写一篇，一篇非同寻常的入门到进阶.可能很多人已经入门了，但是我还是想发表一下自己的看法，如果有错误还希望大佬指出

0x01

可能对于很多刚入门的朋友感到迷茫，或者经常学习学着就没有方向，自己一直处于入门阶段，我现在也一直是这个阶段，我一直都在这个阶段，所以我有很多话要说，接下来步入正题，这是一篇毫无技术性的文章，但是我相信会给你带来不一样的启示。

0x02

常见的WEB漏洞就SQL注入，XSS，文件上传，逻辑漏洞等等，我们先拿SQL注入先说吧，sql注入围绕着最多的我认为就是mysql当然不仅仅是这个，我们应该学会什么？第一，需要学会手工注入，这我认为是基础的，手工注入我们就需要谈到sqli-labs这个靶场了，最好把这个靶场吃透，手工注入就是为了过waf，如果没有waf直接工具了，那还需要手工啊，手工知道过滤了什么后写脚本然后sqlmap一跑，就出来了，其实一个知识点就可以延伸很多，比如waf，不同的waf有不同的bypass方法。还有为什么一般书籍都会把信息收集放在第一位？因为它真的非常重要，当你信息收集之后就相当于你想跟一个人交往，你已经了解了他的所有，那是不是交往会更加顺利，他也会更加喜欢你呢？的确是的，信息收集就这么重要，当你全部了解之后说不定后台密码一猜就猜到了，那还需要那么多事啊，是不是？其实我并不想告诉大家怎么找到漏洞，我只想告诉你们应该怎么学习并且从入门到进阶跨过这个门槛，这并无技术可言，只是简简单单的方法。

0x03

其实这接下来才是我最想说的，我认为web安全就是一个厚积薄发的过程，因为我们训练的一直都是靶机，大家可能也会说靶场一日就会，但是实战就废，毕竟实战碰到的可能性实在是太多了，都是不可预料的，但是我们可以抛弃靶机吗？并不可以，就像一个师傅跟我说的“没有靶机的练习造就灵便的思路，实战中那么多未知因素，怎么能游刃有余呢，你想想是不是这么个道理，练剑术是不是得先拿木剑？练拳术是不是得先打木桩？一样得道理”虽然学习是循序渐进的，但是你实力提升我相信一定会是突飞猛进的，可能很长时间都看不出来，但是终有那么一天你所学的知识都会派上用场。靶机就说一个镜像吧owaspbwa全练完我感觉应该成神了，里面的靶场一个一个练习，也别太着急，比如急着去学ctf或者急着代码审计，技术还没到呢，技术到了自然而然就可以了，每一个靶场都需要多次练习，我相信这跟看书是一样的，每一次都会有不同的感觉和学习到不同的知识，而且同样一个问题你是不是可以用不同的方法解决呢？可以工具跑的你可不可以python写脚本自己试一试呢？是不是与此同时又学到了新的知识。那几个典型的漏洞先摸透在谈别的，xss你是不是需要学js呢？如果不看js学习xss其实不太容易，理解的当然没有学过的好了，学js时候是不是需要看一下html呢？学WEB安全是不是也学python和php呢？当然了，都需要的，当一切都顺其自然联系到一起就好了，你也会有了学习的东西，也不会天天没有动力学习了，当入门之后才会发现其实需要学的东西更多了，当有了压力之后就会变得更加的自律。还有当面对一个问题时候是否经常放弃呢？比如过一个waf，我们拿sql简单绕过来说吧，双写绕过和编码绕过，如果不可以的话你是否会选择放弃，还是换个角度看这个绕过的问题？是过滤了某个关键字还是过滤了关键字的组合呢？这里我想提一个方法，分治法“即将一个复杂的问题分解为若干个简单问题，然后把简单问题组合起来，就解决复杂问题—分而治之”这个方法我相信在哪方面都可以用到的，不仅仅是WEB方面。平常多看看视频，书籍，pdf，和博客，技术论坛，学习他人的思想，自己的力量是绵薄的，他山之石可以攻玉，多去大佬那取取经，你会进步的更快的。例如WEB安全攻防那本书就很好，我在那本书里学到了很多，不得不说。37实验室有段话很好“学技术就要敢折腾，久病成医，百炼成钢，折腾多了你才能学到东西，外在的工具能帮你轻易地完成很多事情，但是更重要也更有意义的是在这不断地发现与解决问题的过程中你所学会的技能和积累的经验”没有10000小时怎么会成功呢？最后希望每一个安全的朋友都可以坚持下去，安全是个好路子真的，向师傅们看齐！