网络安全 - 一名合格的Web安全工程师之成长路径

最近经常听到公司的招聘专员反馈应聘者简历“水分”太大,尤其是技术岗位,例如Web安全工程师,明明是初级阶段的菜鸟,就敢写资深Web安全工程师;在几个项目做一些基础打杂的工作,就敢写带过团队,项目经验丰富;挖过几个低危漏洞,就称自己是精英白帽…其实,那点花架子面试官早就看出来了。
网络安全 - 一名合格的Web安全工程师之成长路径_第1张图片
你以为在网上找一些零散的知识点学学,在面试前狂补一遍常见问题,简历做漂亮些,就能轻松找到工作了?错,大错特错!

Web安全知识体系尤为复杂,网上有一个简易的知识盲区测试,号称“扎心十问”,若有三道以上答不上,还请各位静下心来系统学习吧。

1、各种SQL注入类型:报错注入、布尔盲注、时间盲注、DNSLog盲注、二次注入、宽字节注入、还有伪静态SQL注入你都有了解吗?可否列举出更多注入方法?

2、SQL XSS、XXE、SSRF命令执行等无回显,如何测试证明漏洞存在?

3、PHP代码审计常见危险函数测试思路防御方法你了解多少?

4.下图SQL Fuzz过狗方法你会写吗?
网络安全 - 一名合格的Web安全工程师之成长路径_第2张图片
5、XSS绕过各种方式方法,针对不同符号编码都尝试过吗?
网络安全 - 一名合格的Web安全工程师之成长路径_第3张图片
6、各种XSS类型漏洞,各种场景XSS Bypass实战详解你知道多少呢?

7、遇到不同操作系统不同环境提权问题是否都能解决?

8、从WebShell到内网需要的种种技术和思路,你脑海里有几种?

9、主流的CMS ThinkPHP框架代码审计学过没?时不时的爆出0day,能第一时间想到如何利用吗?

10、如无类似Wappalyzer这种可以识别网站的中间件,你能否用Python随手写一个能轻易识别?
网络安全 - 一名合格的Web安全工程师之成长路径_第4张图片

十题过后,各位感受如何,扎心了吗?

一个合格的Web安全工程师需要扎实的基础,需要系统化的学习,更需要攻防模拟演练,从而培养独立完成项目实战的能力。哪能是自学一些皮毛就可以胜任的!

如果你能掌握安全漏洞高级利用方法与防御方法,熟练使用渗透测试工具的高级使用技巧,漏洞手工利用技巧,掌握对外网渗透和内网渗透技术,并掌握PHP代码审计,python安全脚本开发等技能,那么恭喜你,你可以出徒,去面试找工作了,如果你达不到上述技能,那么还是选择潜下心进行系统化的学习吧!

网络安全 - 一名合格的Web安全工程师之成长路径_第5张图片
CSDN大礼包【282G】网络安全&黑客技术零基础到进阶全套学习大礼包,免费分享!
初级黑客
1、网络安全理论知识(2天)
①了解行业相关背景,前景,确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。(非常重要)

2、渗透测试基础(一周)
①渗透测试的流程、分类、标准
②信息收集技术:主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理,利用方法、工具(MSF)、绕过IDS和反病毒侦察
④主机攻防演练:MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础(一周)
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全(系统入侵排查/系统加固基础)

4、计算机网络基础(一周)
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析(HTTP、TCP/IP、ARP等)
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御:主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作(2天)
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透(1周)
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具:Nmap、BurpSuite、SQLMap、其他(菜刀、漏扫等)

在这里插入图片描述

恭喜你,如果学到这里,你基本可以从事一份网络安全相关的工作,比如渗透测试、Web 渗透、安全服务、安全分析等岗位;如果等保模块学的好,还可以从事等保工程师。薪资区间6k-15k

到此为止,大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗?

想要入坑黑客&网络安全的朋友,给大家准备了一份:282G全网最全的网络安全资料包免费领取!

CSDN大礼包【282G】网络安全&黑客技术零基础到进阶全套学习大礼包,免费分享!

7、脚本编程(初级/中级/高级)
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中,面对复杂多变的网络环境,当常用工具不能满足实际需求的时候,往往需要对现有工具进行扩展,或者编写符合我们要求的工具、自动化脚本,这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中,想要高效地使用自制的脚本工具来实现各种目的,更是需要拥有编程能力.

零基础入门,建议选择脚本语言Python/PHP/Go/Java中的一种,对常用库进行编程学习; 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP, IDE强烈推荐Sublime; ·Python编程学习,学习内容包含:语法、正则、文件、 网络、多线程等常用库,推荐《Python核心编程》,不要看完; ·用Python编写漏洞的exp,然后写一个简单的网络爬虫; ·PHP基本语法学习并书写一个简单的博客系统; 熟悉MVC架构,并试着学习一个PHP框架或者Python框架 (可选); ·了解Bootstrap的布局或者CSS。

8、高级黑客
这部分内容对零基础的同学来说还比较遥远,就不展开细说了,贴一个大概的路线。
在这里插入图片描述

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话,点击CSDN大礼包【282G】网络安全&黑客技术零基础到进阶全套学习大礼包,免费分享!

视频配套资料&国内外网安书籍、文档&工具
当然除了有配套的视频,同时也为大家整理了各种文档和书籍资料&工具,并且已经帮大家分好类了。
在这里插入图片描述
​​
一些我自己买的、其他平台白嫖不到的视频教程:

需要的话可以点击CSDN大礼包【282G】网络安全&黑客技术零基础到进阶全套学习大礼包,免费分享!

面试刷题
我们学习网络安全必然是为了找到高薪的工作,下面这些面试题是来自百度、京东、360、奇安信等一线互联网大厂最新的面试资料,并且有大佬给出了权威的解答,刷完这一套面试资料相信大家都能找到满意的工作。
网络安全 - 一名合格的Web安全工程师之成长路径_第6张图片

结语

网络安全产业就像一个江湖,各色人等聚集。相对于欧美国家基础扎实(懂加密、会防护、能挖洞、擅工程)的众多名门正派,我国的人才更多的属于旁门左道(很多白帽子可能会不服气),因此在未来的人才培养和建设上,需要调整结构,鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”,才能解人才之渴,真正的为社会全面互联网化提供安全保障。

你可能感兴趣的:(web安全,安全,arm开发,网络安全,网络)