网络安全五大“坑”，踩一个就GG！（附避坑指南）从零基础到精通，收藏这篇就够了！-优快云博客

本文链接：https://blog.youkuaiyun.com/kjuhfkicf154/article/details/146974120

为啥会有这玩意儿？

说白了，就是懒！为了防止自己老年痴呆，记不住密码，就搞个简单到姥姥都认识的。要么就是直接用系统默认的，简直是给黑客送人头。

后果有多严重？

有了弱口令，攻击者就能像逛自家后花园一样：

改资料： 随便进你后台，想怎么改就怎么改。
偷钱： 溜进金融系统，把你账户洗劫一空。
偷窥： 钻进监控系统，24小时直播你的生活。
窃密： 潜入OA系统，公司机密文件随便看。

如何自救？

记住这几条保命法则：

（1）别偷懒！ 别用空密码或系统默认密码，那是弱口令界的VIP。

（2）够长才够硬！ 密码长度至少8位，太短了就像牙签，一捅就破。

（3）别单调！ 别用连续或重复的字符，比如“AAAAAAAA”或“tzf.tzf.”，黑客看了都想笑。

（4）四喜丸子！ 密码必须包含大写字母、小写字母、数字和特殊字符，缺一不可！每个种类至少来一个，而且别放在开头或结尾。

（5）别暴露隐私！ 别用你和家人的姓名、生日、纪念日、邮箱等信息，也别用字典里的单词，黑客很容易猜到。

（6）别玩谐音！ 别用数字或符号代替字母，比如“P@$$wOrd”，这种小伎俩早就过时了。

（7）方便记忆，快速输入！ 方便自己，迷惑他人。

（8）常换常新！ 至少90天换一次密码，防止潜伏的入侵者继续作恶。

二、XSS（跨站脚本攻击）：黑客在你眼皮底下“耍流氓”

啥是XSS？

XSS（Cross Site Scripting），江湖人称跨站脚本攻击。为了避免和CSS（层叠样式表）撞衫，所以改名叫XSS。

XSS的套路： 攻击者在网页里埋伏恶意脚本（通常是JavaScript），等你用浏览器打开这个网页，恶意脚本就会在你浏览器里“搞事情”，实现跨站攻击。

XSS有多可怕？

盗Cookie： 偷走你的身份令牌，冒充你为所欲为。
搞钓鱼： 伪造登录页面，骗你输入账号密码。
挖矿： 偷偷占用你的电脑资源，帮你挖矿。
刷流量： 控制你的浏览器，疯狂点击广告。
劫持后台： 攻入网站后台，篡改数据。
篡改页面： 在网页上乱涂乱画，恶心你。
内网扫描： 探测你的内网，寻找更多漏洞。
制造蠕虫： 像病毒一样传播，感染更多用户。

如何防XSS？

严格验证输入： 对用户输入的内容进行严格检查，过滤掉恶意代码。
转义特殊字符： 将特殊字符（如 <、>、'、" 等）进行转义，防止它们被当成代码执行。

三、CSRF（跨站请求伪造）：让你在不知不觉中“被卖了”

CSRF是啥？

CSRF（Cross-Site Request Forgery），中文名叫跨站请求伪造。简单来说，就是攻击者冒用你的身份，偷偷干坏事。

跨站： 请求来自其他网站。
伪造： 请求不是你自愿发出的。

CSRF的危害：

篡改数据： 偷偷修改你在网站上的个人信息。
盗取隐私： 获取你的敏感数据，比如联系方式、银行卡号等。
辅助攻击： 作为其他攻击手段的跳板。
传播蠕虫： 像病毒一样传播，感染更多用户。

如何防御CSRF？

检查Referer： 验证HTTP Referer头，判断请求是否来自同一域名。
缩短Cookie生命周期： 限制Session Cookie的有效期，减少被攻击的机会。
验证码： 在关键操作前，要求用户输入验证码，确认是本人操作。
一次性Token： 为每个请求生成一个随机Token，验证请求的合法性。

四、SQL注入：黑客“撬锁”进入你的数据库

SQL注入是怎么发生的？

当Web应用需要操作数据库时，如果不对用户输入的参数进行严格过滤，攻击者就可以构造恶意的SQL语句，直接交给数据库执行，从而获取或修改数据库中的数据。

SQL注入的本质：

把用户输入的数据当成代码来执行，违背了“数据与代码分离”的原则。

SQL注入的关键点：

1、你能控制输入的内容；

2、Web应用会把你的输入带入数据库执行。

SQL注入的危害：

盗取敏感信息： 窃取网站的账号密码、用户资料等敏感数据。
绕过后台认证： 伪造身份，直接登录后台。
万能密码： 构造特殊的SQL语句，绕过密码验证。
- 后台登陆语句：SELECT*FROMadminWHEREUsername='user’andPassword=‘pass’
- 万能密码：‘or‘1’=‘1’#
提权： 利用SQL注入漏洞，获取系统权限。
读取文件： 读取服务器上的敏感文件。

如何防御SQL注入？

（1）预编译+绑定变量： 使用PrepareStatement，预先编译SQL语句，将用户输入作为参数传入，防止恶意代码被执行。

简单来说，就是先给SQL语句“定型”，然后再把用户输入“填进去”，这样无论用户输入什么，都不会改变SQL语句的结构。

（2）正则表达式过滤： 使用正则表达式，过滤掉用户输入中的特殊字符。

（3）黑名单： 过滤掉SQL注入常用的关键词，如insert、select、update、and、or等。

五、文件上传：黑客上传“病毒”，控制你的服务器

文件上传漏洞的原理：

如果服务器没有对上传的文件进行严格的验证和过滤，攻击者就可以上传恶意的脚本文件，从而获取执行服务端命令的能力。

文件上传漏洞的成因：

服务器配置错误。
开源编辑器漏洞。
客户端上传限制不严格，被绕过。
服务端过滤不严格，被绕过。

文件上传漏洞的危害：

上传恶意文件。
getshell：获取服务器的控制权限。
控制服务器：为所欲为。

如何绕过文件上传限制？

（图片URL保持不变）

如何防御文件上传漏洞？

白名单： 只允许上传指定后缀名的文件。
目录不可执行： 将文件上传目录设置为不可执行，防止恶意脚本被执行。
文件类型判断： 验证文件的真实类型，防止伪装。
随机重命名： 使用随机数改写文件名和文件路径，防止攻击者猜测文件路径。
独立域名： 单独设置文件服务器的域名，与其他业务隔离。
安全设备： 使用专业的安全设备进行防御。

网络安全学习路线&学习资源

网络安全的知识多而杂，怎么科学合理安排？

下面给大家总结了一套适用于网安零基础的学习路线，应届生和转行人员都适用，学完保底6k！就算你底子差，如果能趁着网安良好的发展势头不断学习，日后跳槽大厂、拿到百万年薪也不是不可能！

初级网工

1、网络安全理论知识（2天）

①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）

①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）

①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）

①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）

①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）

①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

【“脚本小子”成长进阶资源领取】

7、脚本编程（初级/中级/高级）

在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级网工

这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。感兴趣的童鞋可以研究一下，不懂得地方可以【点这里】加我耗油，跟我学习交流一下。

网络安全工程师企业级学习路线

如图片过大被平台压缩导致看不清的话，可以【点这里】加我耗油发给你，大家也可以一起学习交流一下。

一些我自己买的、其他平台白嫖不到的视频教程：

需要的话可以扫描下方卡片加我耗油发给你（都是无偿分享的），大家也可以一起学习交流一下。

网络安全学习路线&学习资源

结语

网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。