泷羽sec-安全见闻（2）

声明：学习视频来自b站up主 泷羽sec，如涉及侵权马上删除文章。

找准努力方向，避免盲目学习
视频地址：https://www.bilibili.com/video/BV12oyNYLE2F

上节课给大家科普了一些安全行业的见闻，希望大家明白我在给大家说什么，我只是想给大家更广泛的去科普一下这个知识点，大家首先要知道有哪些语言，而安全行业，或者说渗透测试，红队攻防这些要专研哪些东西，比如说你要专研web渗透或逆向分析这些东西，这就可以了

不论是任何方向我们要做的就是究其本质 找对努力的方向去走，而不是盲目学习那只会让自己痛苦，web渗透 红队你就专研 python php java 三选二
剩下的就是把攻防技术那块搞好 这就可以了

软件程序本质

什么是软件程序呢？

软件程序是一种计算机程序，用于计算机计算和其他可编程设备。
其实就是我们常说的代码，不论是什么软件程序都是由代码组成的，以后我们会见到很多类型的软件程序，比如网页设计，网站开发，软件开发，软件工程，其实本质都是代码，不需要去刻意区分；
以后很多的专业名词都是这样的，其实就是代码，只不过这些代码是完成特定功能的罢了，例如鉴权中间件，跨域中间件，其本质就是iis 那些中间件，明白本质才不会被名词所混淆。

究其根本不论是什么样的语言你只要能能够告诉计算机 计算机给你做了这就是我们的程序，所以不论是哪个方向 究其根本就是一行一行的代码， 那么这个代码转化成二进制我们底层的硬件它就知道它要干什么了，程序就是告诉计算机我们要做什么事，比如我要发个包，写个发包程序，这个程序就是告诉计算机我要发包的一个语言。

所以不论是什么网页设计 前端后端 底层逻辑都是代码 ，不要去分它 没有必要去分，哪个快速快捷我们就用哪个，python能做的就不要用c++，越简单的编程语言越实用，因为其本质都是让计算机去做同样一件事，不要把事情复杂化

Web程序构成

• 前端
• 后端
• 数据库
• 服务器

基本就是这些 前端url 请求到后端要执行什么 后端登陆，这时候就要调用数据库的数据，数据库放在哪，放服务器上 （大概就是这样）

语言

前端语言：

• HTML —>（点击劫持）
• CSS —>(注入）
• Javascript—>(xss dom型 反射型 存储型 点击劫持，请求走私)

web渗透这些是需要学习的

后端语言

.php

.java

.python

.golang

.c/c++

.lua

.nodejs

.ruby

后端语言有很多，比如php 就会有反序列化漏洞，sql注入漏洞，命令注入漏洞等问题，所以语言是很重要的如果你连后端语言都没写过怎么知道啥叫反序列化呢要想搞这些漏洞 以上语言必须学一种，比如请求走私就是涉及到协议问题了.

代码库

JQuery
BOOtstrap
elementui

代码库是干什么的，我们写代码不可能用原生的语言去写，这样太废精力了，我们可以封装成一些库让它很方便的去调用。
（避免重复造轮子）

框架

.vue
.react
.angular

框架不论怎么写都是基于最本质的的三种语言写的html,css,javascript,如果单纯从纯粹的Javascript去分析很费时间，一般都是通过框架去分析xss 框架多如牛毛 （知道就行)

前端潜在漏洞：

• 信息泄露，
• xss，
• csrf，
• 点击劫持，
• 访问控制，
• web缓存漏洞，
• 跨域漏洞，
• 请求走私

后端潜在漏洞：

• 信息泄露，
• xss，
• csrf，
• ssrf，
• 反序列化漏洞，
• sql注入漏洞，
• 命令注入漏洞，
• 服务端模板注入，
• 跨域漏洞，
• 访问控制

数据库

数据库有什么潜在漏洞呢，sql注入，xss，命令注入等

数据库也是有分类的

1. 关系型数据库
   .mysql

   .sqlsever

   .access

   .postgresql

2. 非关系型数据库

   .mongodb

   .couchdb

   .neo4j

   .redis

你想学SQL注入你不知道啥叫数据库，就好比你想当警察你不知道啥叫枪一样，所以说想学漏洞之前对以上的要有所了解 起码得会一点

服务器程序

潜在漏洞：信息泄露，文件上传漏洞，文件解析漏洞，目录遍历，访问控制

.apache

.nginx

.iis

.tengine

.tomcat

.weblogic

web程序 这个我这么一列出来就感觉很多是吧，前端语言就三种 但是他的库很多啊，框架也多，后端语言就更多了，很多人说要进红队 比如Java代码审计首先你得会Java呀 这个是避不开的，
再比如反序列化漏洞 Java php python都有反序列化漏洞你得想好搞哪一个 你还得会编程语言啊，web程序大致就是这些希望大家理解我讲的这些。.

懂进攻，知防守。就是这样