1. SQL 注入（SQL Injection）#

SQL 注入是最常见的 Web 漏洞之一，攻击者通过在输入字段中插入恶意 SQL 代码来操纵数据库。

示例：

1
SELECT * FROM users WHERE username = 'admin' OR '1'='1'

防御方法：

• 使用参数化查询
• 输入验证和过滤
• 最小权限原则

2. 跨站脚本攻击（XSS）#

XSS 攻击允许攻击者在其他用户的浏览器中执行恶意脚本。

类型：

• 存储型 XSS
• 反射型 XSS
• DOM 型 XSS

防御方法：

• 输出编码
• 输入过滤
• 使用 Content Security Policy (CSP)

3. 跨站请求伪造（CSRF）#

CSRF 攻击诱使用户在已认证的 Web 应用程序上执行非预期的操作。

防御方法：

• 使用 CSRF Token
• 验证 Referer 头
• 使用 SameSite Cookie 属性

第一阶段：基础知识#

1. HTTP 协议

   • 请求/响应模型
   • 常用方法（GET、POST 等）
   • 状态码含义
   • Cookie 和 Session

2. Web 技术基础

   • HTML/CSS/JavaScript
   • 前端框架
   • 后端开发（PHP/Python/Java 等）
   • 数据库（MySQL、MongoDB 等）

第二阶段：漏洞学习#

1. OWASP Top 10

   • 深入理解十大 Web 安全风险
   • 实际漏洞复现
   • 防御方案实践

2. 其他常见漏洞

   • 文件上传漏洞
   • 文件包含漏洞
   • 命令注入
   • 逻辑漏洞

第三阶段：工具使用#

1. Burp Suite - Web 渗透测试神器
2. OWASP ZAP - 开源安全测试工具
3. SQLMap - SQL 注入自动化工具
4. Nmap - 网络扫描工具
5. Metasploit - 渗透测试框架

第四阶段：实战演练#

1. 靶场练习

   • DVWA（Damn Vulnerable Web Application）
   • OWASP Juice Shop
   • HackTheBox
   • TryHackMe

2. CTF 比赛

   • 参加网络安全竞赛
   • 提升实战能力

书籍#

• 《Web 安全深度剖析》
• 《白帽子讲 Web 安全》
• 《Web 应用黑客手册》

在线资源#

• OWASP 官方网站
• 安全客
• FreeBuf
• 先知社区

实践平台#

• DVWA
• HackTheBox
• TryHackMe
• Vulnhub