㈠ web安全要學什麼
Web安全的范圍實在太大，哪些先學，哪些後學,如果沒有系統的路線會降低大家效率，對於剛入門的同學們來說簡直就是「噩夢」。所以，這篇類似學習路線的文章，希望可以幫助剛入門的萌新們少走彎路。（文末附學習資料及工具領取）
首先我們來看看企業對Web安全工程師的崗位招聘需求是什麼？
1職位描述
對公司各類系統進行安全加固；
對公司網站、業務系統進行安全評估測試（黑盒、白盒測試）
對公司安全事件進行響應、清理後門、根據日誌分析攻擊途徑
安全技術研究，包括安全防範技術、黑客技術等；
跟蹤最新漏洞信息，進行業務產品的安全檢查。
熟悉Web滲透測試方法和攻防技術，包括sql注入、XSS跨站、CSRF偽造請求、命令執行等OWSP TOP10 安全漏洞與防禦；
熟悉Linux、Windows不同平台的滲透測試，對網路安全、系統安全、應用安全有深入理解和自己的認識；
熟悉國內外安全工具，包括Kali、Linux、Metasploit、Nessus、Namp、AWVS、Burp等；
對Web安全整體有深刻理解，有一定漏洞分析和挖掘能力；
2崗位要求
根據崗位技能需求，再來制定我們的學習路徑，如下：
一、Web安全學習路徑
01 HTTP基礎
只有搞明白Web是什麼，我們才能對Web安全進行深入研究，所以你必須了解HTTP，了解了HTTP，你就會明白安全術語的「輸入輸出」。黑客通過輸入提交「特殊數據」，特殊數據在數據流的每個層處理，如果某個層沒處理好，在輸出的時候，就會出現相應層的安全問題。關於HTTP，你必須要弄明白以下知識：
HTTP/HTTPS特點、工作流程
HTTP協議（請求篇、響應篇）
了解HTML、Javascript
Get/Post區別
Cookie/Session是什麼？
02 了解如下專業術語的意思
Webshell
菜刀
0day
SQL注入
上傳漏洞
XSS
CSRF
一句話木馬
......
03 專業黑客工具使用
熟悉如何滲透測試安全工具，掌握這些工具能大大提高你在工作的中的效率。
Vmware安裝
Windows/kali虛擬機安裝
Phpstudy、LAMP環境搭建漏洞靶場
Java、Python環境安裝
子域名工具 Sublist3r
Sqlmap
Burpsuite
Nmap
W3af
Nessus
Appscan
AWVS
04 XSS
要研究 XSS 首先了解同源策略 ，Javascript 也要好好學習一下 ，以及HTML實體 HTML實體的10 或16進制還有Javascript 的8進制和16進制編碼，最終掌握以下幾種類型的XSS：
反射型 XSS：可用於釣魚、引流、配合其他漏洞，如 CSRF 等。
存儲型 XSS：攻擊范圍廣，流量傳播大，可配合其他漏洞。
DOM 型 XSS：配合，長度大小不受限制 。
05 SQL注入
所謂SQL注入，就是通過把SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字元串，最終達到欺騙伺服器執行惡意的SQL命令。你需要了解以下知識：
SQL 注入漏洞原理
SQL 注入漏洞對於數據安全的影響
SQL 注入漏洞的方法
常見資料庫的 SQL 查詢語法
MSSQL,MYSQL,ORACLE 資料庫的注入方法
SQL 注入漏洞的類型：數字型注入 、字元型注入、搜索注入 、盲注(sleep注入) 、Sqlmap使用、寬位元組注入
SQL 注入漏洞修復和防範方法
一些 SQL 注入漏洞檢測工具的使用方法
06 文件上傳漏洞
了解下開源編輯器上傳都有哪些漏洞，如何繞過系統檢測上傳一句話木馬、WAF如何查殺Webshell，你必須要掌握的一些技能點：
1.客戶端檢測繞過（JS 檢測）
2.伺服器檢測繞過（目錄路徑檢測）
3.黑名單檢測
4.危險解析繞過攻擊
5..htaccess 文件
6.解析調用/漏洞繞過
7.白名單檢測
8.解析調用/漏洞繞過
9.服務端檢測繞過-文件內容檢測
10.Apache 解析漏洞
11.IIS 解析漏洞
12.Nginx 解析漏洞
07 文件包含漏洞
去學習下
include() include_once() require() require_once() fopen() readfile()
這些php函數是如何產生文件包含漏洞, 本地包含與遠程包含的區別，以及利用文件包含時的一些技巧如：截斷 /偽url/超長字元截斷等 。
08 命令執行漏洞
PHP代碼中常見的代碼執行函數有：
eval(), assert(), preg_replace(), call_user_func(), call_user_func_array(),create_function(), array_map()等。
了解這些函數的作用然後些搞清楚如何造成的代碼執行漏洞。
09 CSRF 跨站點請求
為什麼會造成CSRF，GET型與POST型CSRF 的區別, 如何防禦使用 Token防止CSRF？
010 邏輯漏洞
了解以下幾類邏輯漏洞原理、危害及學會利用這幾類漏洞：
信息轟炸、支付邏輯漏洞、任意密碼修改、越權訪問、條件競爭、任意注冊、任意登錄、順序執行缺陷、URL跳轉漏洞.
011 XEE（XML外部實體注入）
當允許XML引入外部實體時，通過構造惡意內容，可以導致文件讀取、命令執行、內網探測等危害。
012 SSRF
了解SSRF的原理,以及SSRF的危害。
SSRF能做什麼？當我們在進行Web滲透的時候是無法訪問目標的內部網路的，那麼這個時候就用到了SSRF漏洞，利用外網存在SSRF的Web站點可以獲取如下信息。
1.可以對外網、伺服器所在內網、本地進行埠掃描，獲取一些服務的banner信息;
2.攻擊運行在內網或本地的應用程序（比如溢出）;
3.對內網Web應用進行指紋識別，通過訪問默認文件實現;
4.攻擊內外網的Web應用，主要是使用get參數就可以實現的攻擊（比如struts2，sqli等）;
5.利用file協議讀取本地文件等。
如果上述漏洞原理掌握的都差不多那麼你就算入門Web安全了。
如果看了上面你還不知道具體如何學習？可參考合天網安實驗室Web安全工程師崗位培養路徑學習：網頁鏈接
㈡ Web網路安全就業方向多麼
網路安全的具體工作方向分為web前端安全和底層安全。
你所指的web安全相比於底層安全，受眾面更大，需求的崗位也不少，在安全領域屬於大頭。但是web安全更偏重於手段和思維。對技術沒有太高的要求。後期發展會受限。
底層安全，合格的底層安全人員，才是真正的「信息安全工程師」。底層安全更偏重於技術，甚至是純技術的對抗，許可權大，效果好，遠不是web安全能比的。但是底層缺點就在於，技術難度高，行業門檻高。屬於高精尖稀缺人才。如果你對技術有追求建議從底層開始。
從培訓機構上也能看出這兩個方向的市場：web安全教育機構眾多，門檻低。底層安全北京地區只有15PB一家，鳳毛麟角。
㈢ web安全大學哪個專業涉及
信息安全，網路安全專業均有涉及！
㈣ 什麼是WEB安全是網路安全么
§1、網站安全概述
一、 常見的網站提供的服務：DNS SERVER，WEB SERVER，E-MAIL SERVER，FTP SERVER，此外網站還需要有個主伺服器（最好不要把網站的操作系統伺服器與上述的SERVER 放在一起）（不一定全對互聯網開放）
1、 這些常見的服務屬於TCP/IP協議棧，如果低層安全性被攻擊了，則高層安全成了空中樓閣。所以要進行安全分析（安全只是個動態的狀態）
2、 TCP/IP協議棧各層常見的攻擊（回憶TCP/IP各層結構圖）
（1）物理層：數據通過線傳輸是特點
威脅：監聽網線，sniffer軟體進行抓包，拓樸結構被電磁掃描攻破
保護：加密，流量填充等
（2）internet層：提供定址功能是其特點-----路由，IP,ICMP,ARP,RARP
威脅：IP欺騙(工具完成將數據包源地址IP改變)
保護：補丁、防火牆、邊界路由器設定
（3）傳輸層：控制主機間的信息流量-----TCP,UDP
威脅：DOS(圖)，DDOS，會話劫持等
保護：補丁、防火牆、開啟操作系統抗DDOS攻擊特性
㈤ web安全工程師前景如何
Web安全工程師前景還是很好的。Web安全工程師的工作包括web安全培訓，主要針對開發人員、運維人員的安全培訓，提升安全人員意識；安全事件應急響應，當發生安全事件的時候，如何去處理，處理完後，寫處理報告，發現其中存在的安全問題，再進行修補。
新漏洞攻防研究，研究一些新的安全漏洞，比如最近的struts2的漏洞研究，域名被黑的研究等，制定相應防護方案。
開源/第三方組件漏洞跟蹤，針對公司使用的第三方，開源組件，進行跟蹤，發現漏洞後第一時間修復；安全產品的推動實施等，僅僅通過技術是不夠的，有的時候，需要將技術轉換為安全產品，來減少人的工作量。
㈥ 需要考慮的web安全問題具體有哪些
1、來自伺服器本身及網路環境的安全，這包括伺服器系統漏洞，系統許可權，網路環境（如ARP等）專、網屬絡埠管理等，這個是基礎。
2、來自WEB伺服器應用的安全，IIS或者Apache等，本身的配置、許可權等，這個直接影響訪問網站的效率和結果。
3、網站程序的安全，這可能程序漏洞，程序的許可權審核，以及執行的效率，這個是WEB安全中佔比例非常高的一部分。
4、WEB Server周邊應用的安全，一台WEB伺服器通常不是獨立存在的，可能其它的應用伺服器會影響到WEB伺服器的安全，如資料庫服務、FTP服務等。
㈦ 如果我想成為WEB安全工程呢，大學應該選什麼專業計算機還是信息安全或者其他，本人迷茫，希望詳盡
信息安全專業在中國就是垃圾，建議選擇計算機專業，這樣可以有深厚的計算機和網路的底蘊，信息安全專業會安排一堆沒用的課程，涉及面太廣，而且國內沒什麼好的教材，相關專業的教師也少得可憐，如果真的想學，就報考武漢大學的信息安全專業，中國第一個開設信息安全專業的大學，是唯一的自己編寫信息安全教材的大學…
㈧ 學web安全前都需要掌握什麼
1、基礎網路協議/網站架構
互聯網的本質也就是一系列的網路協議，不管是C/S架構還是B/S架構都是基於網路通信，滲透人員需要了解到通信流程以及數據包走向等，才能使用相應手段跟工具去做滲透。
Web網站常見的協議以及請求方式，這些在做滲透的時候必不可少的。甚至也是可以利用協議來做滲透測試。所有的知識都是息息相關的，必不可少。
2、基礎的編程能力
一名Web滲透測試人員必須具有有一定的基礎編程能力的，每天都跟代碼打交道，如果不會寫代碼或者看不懂代碼，十分吃虧。
例如需要自己寫一款適合此刻情景漏洞的工具，如果不會寫會極大降低效率。再者就是關於後續進階的代碼審計問題，如果不會寫代碼，代碼也看不懂那麼就不知道怎麼從源代碼去審計漏洞，去發現原因。
3、滲透測試工具
滲透測試工具網上開源的很多，作為滲透測試人員會使用滲透測試工具這是必不可少的。一些優秀的工具要學會利用，還有就是要學會自己寫工具。例如在做滲透測試中，好比說大量的數據FUZZ，如果說人工操作將大大浪費時間跟效率。
如若網上的工具不符合此漏洞的情景，這時候就需要自己手動寫工具去調試。當然網上優秀的工具已不少，優先使用會極大提高我們的效率。
4、了解網站的搭建構成
試著去了解一個網站的形成架構，語言，中間件容器等。如果不知道一個網站是如何搭建起來的，那麼做滲透的時候根本就沒有對應的滲透測試方案。例如一個網站採用了某種中間件，或者什麼資料庫，再或者是採用網上開源的CMS。
如果對於這些不了解，那麼就只能在網頁上徘徊遊走，甚至無從下手。了解一個網站的搭建與構成，對於前期做踩點與信息收集有著很大的幫助。
5、漏洞原理(重要)
滲透測試人員肯定是要對漏洞原理去深入研究探究，這樣會從中發現更多有「趣」的東西。所有有「趣」的東西是可能你在原有的基礎漏洞上配合其他漏洞，從而達到組合漏洞，這樣效果有可能會更佳，不過不去了解漏洞原理，漏洞產生，不去從代碼層出發。
那就不知道漏洞起因，到後期的滲透利用以及修復方案，就會顯得吃力，這時候有可能你就需要去查資料，從某種形式的降低了速度與效率，所以，知識與積累必不可少。
6、報告撰寫能力
每次做完滲透測試之後，都是需要一個滲透測試報告，對於漏洞挖掘的梳理，網路結構印象加深，這是後期與客戶溝通還有與開發對接提修復建議能起到很大的幫助，這些細小的細節決定著你服務的質量與責任感，因此需要不斷的積累與提升。