web安全入门路线及资源整理

一、渗透测试整体框架

四步走：1.信息收集2.外网入口3.权限提升与维持4.内网渗透

1.信息收集

技术信息收集

端口信息：nmap扫描ip信息，c段扫描、撒旦、zoomeye、fofa等域名信息收集、二级域名爆破、域名注册信息应用实别、网站cms实别、目录扫描、信息泄露实别（git、svn等）

公开情报收集

公司人员组织的信息，即利用社会工程学

2.外网入口

web服务器* VPN服务器* 邮箱服务器* apk逆向* wifi接口* 其他

---

• web后门* 系统后门* 权限提升* 权限维持4.内网渗透

---

内网信息收集* 工作组和域* 横向拓展和纵向拓展

二、学习路线

• web基础* 漏洞原理* 编程能力* 实战练习1.web基础

---

编程基础：脚本语言，开发语言网络基础：tcp/ip 、http、dns服务器的基本使用：linux/windows,基本操作命令、如何搭建web服务器（apache+php+mysql

工具使用：wireshark burpsuite

2.漏洞原理、防火墙

owasp top10

3.编程能力

脚本、工具、poc、编写

三、学习资源整理

实践：ctf题目、在线靶场、自己搭建环境、src书籍

靶场

dvwa，pikachu,awvs

### 如何入门网络安全

#### 建议

多看书

阅读永远是最有效的方法，尽管书籍并不一定是最好的入门方式，但书籍的理解需要一定的基础；但是就目前来看，书籍是比较靠谱的入门资料。

现在Web安全书籍比较多，因此大家在学习的过程中可以少走了不少的弯路。如果以上推荐书籍阅读有困难，那就找自己能看得进的 Web 安全的书

当然纸上谈兵终觉浅，最好还是实践一下。

对于那些没有学习方向和资料的同学，可以看下我整理的资源，这份资料经历过社会的实践，可以说是当下全网较全的网络安全知识体系：

①网络安全学习路线

②20份渗透测试电子书

③安全攻防357页笔记

④50份安全攻防面试指南

⑤安全红队渗透工具包

⑥网络安全必备书籍

⑦100个漏洞实战案例

⑧安全大厂内部视频资源

⑨历年CTF夺旗赛题解析