你真的懂Web渗透测试吗？

今天就从 三个层面 详细聊一聊，如何成为一名真正的安全渗透测试工程师。

Web安全 vs 渗透测试 ？

很多人经常有以下疑惑：

• 是不是学会Web安全，就等于学会渗透测试了？
• Web安全和渗透测试的关系到底是什么？
• Web安全渗透测试的学习路线图是什么？

以上这些问题，大部分安全新人都有过，我们先给出结论，那就是：Web安全不等于渗透测试，Web 安全仅仅是渗透测试的一个小分支。

可以用以下图解来进行理解：

要理解这张图，首先要清楚「渗透测试」的定义和工作范围，例如什么是渗透测试呢？简单来说：

渗透测试（Penetration test）即安全工程师模拟黑客，在合法授权范围内，通过信息搜集、漏洞挖掘、权限提升等行为，对目标对象进行安全测试（或攻击），找出安全风险并输出测试报告。

从上面这句话可以看出，我们并没有对「目标对象」进行范围限制，而当前人类的 IT 基础设施就涵盖了 Web、移动、云计算、物联网、大数据、人工智能等各个领域，这样的话，渗透测试的对象有可能是企业网站、业务系统、移动 APP、WiFi 热点、Docker 容器、AI 机器人……

简单来讲，根据不同目标对象，渗透测试可以细分为Web渗透测试、内网渗透、移动APP渗透、无线渗透……

因此，渗透测试的核心思想，其实就是一个，即：万物皆可 Hack !

如何学好Web安全渗透测试？

基于以上，我们就知道， 「Web 安全」仅仅是是围绕 Web 技术进行展开，研究Web客户端、Web服务端、数据库、通信协议等安全性问题。

当然，由于Web安全渗透测试方向对于新人更加友好，学起来轻松，也比较容易找到工作，所以话题度更高，就自然有人觉得渗透测试就等于Web安全了。

那重点来了，既然Web安全渗透测试更容易入门，有什么推荐的学习路线及方法呢？

首先，我们需要了解「Web 技术架构图」，对Web前后端架构有个整体认知：

也就是说，当我们要深入Web安全渗透测试时，首先，得先掂量下，自己是否具备这些前置知识：

※ 是否能够从零开始搭建起一个网站？（网站架构）

※ 是否了解过 HTTP 协议原理？例如用抓包软件分析过 HTTP请求和响应包有什么内容？（Web通信协议）

※ 是否能看懂网页源码，或者用 HTML / CSS / JavaScript 做过前端页面？（Web前端）

※ 是否清楚什么是 MVC/MTV 架构，或者用 Python / PHP / Java 做过后端架构？（Web后端 ）

※ 是否了解过常见的 Web容器/中间件，或者用过 Apache / Nginx / Tomcat？（Web容器）

※ 是否掌握任一常见的数据库技术，包括但不限于 MySQL / SQLsever / Oracle？（数据库）

※ ……

总而言之，Web安全渗透测试技术，首先是建立在 Web 技术之上的，绕开这些技术谈安全谈渗透，那便是 “空中楼阁”。

有了以上铺垫，这里就正式提供一个经典的Web安全渗透测试学习路线图，是这样的→

· 第一阶段：Web技术入门
· 第二阶段：Web安全开发（前端技术）
· 第三阶段：Web安全开发（后端技术）
· 第四阶段：Web安全渗透

网络安全攻防第1课

很多人问，如何快速地建立一个网络安全的知识体系？又或者是，一个白帽子黑客的知识体系应该怎么样？

我的建议是这样的：

学习前期，还是需要有一些计算机功底，比方说网络技术、操作系统、网站开发、编程语言等等。别小看这么基础的技能，这些很大程度会决定你未来在安全领域发展的天花板。如果你本身从事网工运维、或者程序开发，学起来会更加得心应手。

在学完这些基础之后，你要马上去做的一个事情是什么呢？要去了解一些安全模型和框架（红蓝队都有很多），比如PTES、CKC、ATT&CK。通过这些模型和框架，你可以提前知晓作战路径、战术、执行规范等。

网络安全零基础入门

对于从来没有接触过网络安全的同学，我准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

视频配套资料&国内外网安书籍、文档&工具

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享