网络靶场_在线网络安全学习平台|合天智汇

Web安全浅析

在探讨Web安全学习之前，首先了解一下什么是Web

看到这里，你可能会问：这么多内容都需要学习吗？

答案是：可以不用学得很深入，但是如果不了解这些研究对象，是不可能搞好的安全研究的。（原话来自余弦大佬在知乎的回答）

那么这么多内容应该从哪里开始学呢？别急，等了解完什么是Web安全再学也不迟。

把Web服务各层串联起来的就是数据流，掌握了数据流就能知道数据在每层是如何处理的。而在数据流中有一个关键的协议，就是HTTP协议，搞明白HTTP协议后，你就会明白一个专业术语“输入输出”。黑客通过输入提交‘特殊数据’，‘特殊数据’在数据流的每个层处理，如果其中某一层没处理好，在输出的时候，就会出现相应层的安全问题，也就是本文的重点——Web安全。

例如：

操作系统：数据如果在操作系统层上没处理好，可能会产生命令执行等安全问题；

存储：数据如果在存储层上没处理好，可能会产生SQL注入等安全问题；

Web容器：数据如果在Web容器层中没处理好，可能会产生远程溢出、DoS等安全问题；

Web服务端语言：代码审计对于安全人员来说也是一项重要技能；

Web开发框架/Web应用：数据如果在这里没处理好，可能会产生命令执行等安全问题；

Web前端框架：数据如果在Web前端框架中没处理好，可能会产生XSS跨站脚本等安全问题；

到这里可以看出“输入输出”对于安全的重要性了吧。

接下来的内容都是干货

初步了解了什么是Web以及容易产生的一些安全问题，下面具体来说说入门Web安全应该学什么，怎么学。

还是从Web服务说起，操作系统层具体分为Windows和Linux，Windows又有Win10、Win8、Win7、WindowsServer 2016、WindowsServer 2012、WindowsServer 2008、WindowsServer 2003等版本，主要了解它们的安全配置及相关漏洞。

Windows系统安全配置：

http://www.hetianlab.com/cour.do?w=1&c=C9d6c0ca797abec2017041916560700001

通过学习Windows系统安全配置课程，基本了解Windows操作系统的安全加固方法

Windows系统加固：

http://www.hetianlab.com/expc.doec=ECID172.19.104.182015070809494300001

这也是和Windows系统安全加固相关的实验。

还有很多Windows相关的比如文件系统备份、用户管理、日志清理、用户口令破解等知识，都可以在http://www.hetianlab.com/pages/search.html?wk=Windows进行学习。

而Linux又有CentOS、Redhat、Ubuntu、Debian、Fedora、openSUSE等诸多发行版本，说到Linux，不得不提那本被推荐了无数遍的——《鸟哥的Linux私房菜》

http://cn.linux.vbird.org/

纯文字的阅读难免让人感觉枯燥，作者更喜欢一边学习一边动手操作：

Linux入门最佳实践：

http://www.hetianlab.com/cour.do?w=1&c=CCID7ca1-dae5-48f4-8dd6-d8b6c2b5938b

课程包括Linux的发展、文件管理基础命令、管道命令、账户及系统管理等

存储层主要分为数据库存储、内存存储和文件存储，其中数据库有MySQL、Oracle、MSSQL、access、MongoDB、Redis等，数据库是SQL注入学习的基础。

MySQL数据库相关基础学习：http://www.hetianlab.com/expc.do?ec=ECID172.19.104.182015082709474200001了解MySQL表的结构与内容，增加用户及授权，删除用户等操作。

MongoDB安全配置：http://www.hetianlab.com/expc.do?ec=ECID172.19.104.182016030216511800001实验介绍了MongoDB数据库及其安全攻防实践，通过学习此实验了解MongoDB的基本操作和安全特性。

Redis数据库安全实践:

http://www.hetianlab.com/cour.do?w=1&c=C172.19.104.182015052010331700001

系统性的SQL、MySQL学习也可以到w3cschool上进行。

Web容器包括Apache、IIS和Nginx，这里推荐几个集合环境软件：

php集合环境软件phpStudy：http://www.phpstudy.net/phpstudy/phpStudy20161103.zip

jsp集合环境软件jspStudy：http://www.phpstudy.net/phpstudy/JspStudy.zip

ASP集合环境软件小旋风ASP服务器：http://www.jb51.net/softs/35167.html

第一个phpStudy集合了Apache、MySQL和PHP，将Web源码放到phpStudy里就搭建好了自己的Web服务器。具体教程自行百度，这里就不放链接了。

Web服务端语言：前面提到了代码审计，入门Web安全其实不需要对语言进行系统性的学习，这样很浪费时间，只要平时在分析漏洞原理、查看目标网站源代码等时候，对重要的函数、方法等有所了解，能够举一反三即可。

PHP基础：http://www.hetianlab.com/cour.do?w=1&c=C9d6c0ca797abec2017041916344500001

通过基础实验了解PHP语言，为后续的学习打下基础。

PHP代码审计：http://www.hetianlab.com/cour.do?w=1&c=C9d6c0ca797abec2017041916230700001

通过此实验学习PHP代码审计的基础知识及PHP常见危险函数

Web框架/应用：开发框架包括Struts2、React、Django、thinkPHP等，前端框架包括jQuery、Bootstrap、HTML5、semanticUI、Pure等，Web应用包括BBS，blog，discuz、metinfo、Joomla等各种CMS，不需要大家用这些框架搭建Web应用，只需要了解各框架/CMS存在哪些漏洞，其原理、利用以及如何进行修复等。

横向的学习路径介绍完，开始纵向学习数据流之《HTTP从入门到放弃》。

协议这个东西光靠看书学习很费劲，有什么快速掌握的途径吗？还真的有，通过学习一些入门的HTTP协议，然后浏览器F12看看‘Network’标签里的HTTP请求响应，结合wireshark等协议分析软件，不出几个小时，就大概能知道HTTP协议是什么了。

HTTP协议基础：http://www.hetianlab.com/expc.do?ce=08398307-4303-4dde-bcfc-e8bd67f2e772