以下是**Web安全专项学习步骤**，聚焦**实战能力培养**，分为**4个阶段+资源清单**，适合从入门到进阶。重点培养**漏洞挖掘能力**与**防御方案设计**双重视角：
---
### 🔰 **阶段1：Web技术筑基（1-2个月）**
| **领域** | **关键技能** | **工具/资源** |
|----------------|-----------------------------------------------------------------------------|------------------------------------------------------------------------------|
| **HTTP协议** | • 报文结构（Header/Body/Cookie）<br>• 请求方法（GET/POST/PUT）<br>• 状态码（200/302/403/500） | [HTTP协议图解](https://developer.mozilla.org/zh-CN/docs/Web/HTTP)<br>Burp Suite Repeater模块 |
| **前端基础** | • HTML表单与DOM树<br>• JavaScript同源策略<br>• Cookie/Session机制 | W3School HTML+JS教程<br>浏览器开发者工具（Elements/Console） |
| **后端基础** | • SQL数据库基础操作<br>• 服务端框架路由原理（如Flask/Django）<br>• API交互模式 | [SQLZoo练习平台](https://sqlzoo.net/)<br>[Postman接口测试工具](https://www.postman.com/) |
| **调试工具** | • 浏览器开发者工具网络抓包<br>• Burp Suite代理配置与数据拦截 | Chrome DevTools<br>[Burp Suite Community版](https://portswigger.net/burp/communitydownload) |
> **💡 目标**：手动构造HTTP请求修改参数，理解数据流传递过程
---
### ⚔️ **阶段2：OWASP Top 10实战（3-4个月）**
```mermaid
graph TD
A[OWASP核心漏洞] --> B[注入攻击]
A --> C[跨站脚本-XSS]
A --> D[失效访问控制]
A --> E[安全配置错误]
A --> F[逻辑漏洞]
B --> B1(SQL注入/命令注入)
C --> C1(存储型/反射型/DOM型XSS)
F --> F1(越权访问/支付漏洞)
| **漏洞类型** | **攻击方法** | **实验靶场** |
|----------------|---------------------------------------------|-----------------------------------------------------------------------------|
| **SQL注入** | • 联合查询注入<br>• 布尔盲注<br>• 时间盲注 | [PortSwigger SQLi Labs](https://portswigger.net/web-security/sql-injection) |
| **XSS** | • 窃取Cookie<br>• DOM污染<br>• 构造钓鱼页面 | [XSS Game by Google](https://xss-game.appspot.com/) |
| **CSRF/SSRF** | • 伪造请求转账<br>• 内网服务探测 | [WebGoat](https://github.com/WebGoat/WebGoat) |
| **文件漏洞** | • 路径遍历<br>• 文件上传绕过（.htaccess/.php5） | [Upload Labs](https://github.com/c0ny1/upload-labs) |
> **🔧 工具深化**：
> - SQLMap（自动化注入）
> - XSStrike（高级XSS检测）
> - Burp Collaborator（SSRF/盲注验证）
---
### 🔍 **阶段3：漏洞挖掘进阶（2-3个月）**
**能力提升重点**：
```diff
+ 从「已知漏洞利用」转向「未知漏洞发现」
+ 从「工具依赖」转向「手动代码审计」
```
| **技术方向** | **方法论** | **实战训练** |
|--------------------|--------------------------------------------------------------------------|---------------------------------------------------------|
| **逻辑漏洞挖掘** | • 业务流逆向分析（如注册/支付流程）<br>• 参数篡改（IDOR/定价修改） | 漏洞赏金平台（HackerOne/Bugcrowd） |
| **API安全** | • JWT令牌破解<br>• GraphQL注入<br>• OAuth2配置错误 | [APISec University](https://university.apisec.ai/) |
| **代码审计** | • PHP危险函数（eval/assert）<br>• Java反序列化链<br>• Node.js原型污染 | [PHP-Audit-Labs](https://github.com/hongriSec/PHP-Audit-Labs) |
| **WAF绕过** | • 混淆SQL语句（内联注释/空白符）<br>• XSS编码绕过（HTML实体/JS Unicode） | [WAF Bypass Playground](https://github.com/0xInfection/Awesome-WAF) |
---
### 🛡️ **阶段4：防御体系构建（持续进行）**
**构建安全开发闭环**：
1. **SDLC集成**：在开发流程中加入安全环节（SAST/DAST扫描）
2. **防护方案**：
- SQL注入 → 预编译语句（Prepared Statements）
- XSS → CSP策略 + 输出编码
- CSRF → Anti-CSRF Token + SameSite Cookie
3. **监控响应**：
- WAF日志分析（ModSecurity）
- RASP（运行时应用自保护）
---
### 🧰 **资源工具箱**
| **类型** | **推荐资源** |
|----------------|-----------------------------------------------------------------------------|
| **综合靶场** | [PortSwigger Web Security Academy](https://portswigger.net/web-security)（免费+实验指导） |
| **CTF平台** | [CTFlearn](https://ctflearn.com/)（Web专项挑战） |
| **漏洞赏金** | [Hacker101](https://www.hacker101.com/)（免费课程+实战靶机） |
| **代码审计** | [Damn Vulnerable Web App](https://github.com/digininja/DVWA)（PHP漏洞集合） |
| **书籍** | 《Web Application Hackers Handbook》（黑客圣经）<br>《白帽子讲Web安全》（吴翰清） |
---
### ⚠️ **关键原则**
1. **合法授权**：仅测试授权目标（如Bug Bounty项目/Vulnhub靶机）
2. **深度>广度**：精通SQL注入/XSS/越权三大核心漏洞，比浅尝10种漏洞更有价值
3. **工具双刃剑**：Burp Suite自动化扫描是辅助，**手动验证**才能发现逻辑漏洞
**职业路径**：Web安全工程师 → 渗透测试工程师 → 安全研发架构师
**能力标志**：独立提交高危漏洞（CVE编号）或通过OSWE认证（Offensive Security Web Expert）
> “真正的Web安全专家能看到代码背后的风险链路，从用户输入到数据库查询，从前端渲染到API通信，每一步都是攻防战场。”