位置: IT常识 - 正文

web渗透测试学习路线(什么叫web渗透测试)

编辑：rootadmin

web渗透测试学习路线 web渗透学习路线文章目录*web渗透学习路线*前言一、web渗透测试是什么？二、web渗透步骤1.前期工作2.中期提高3.后期打牢总结前言

推荐整理分享web渗透测试学习路线(什么叫web渗透测试)，希望有所帮助，仅作参考，欢迎阅读内容。

文章相关热门搜索词:web渗透测试实战,web渗透测试的工作流程,web渗透测试报告,web渗透测试题,web渗透测试的基本步骤,web渗透测试工具,web渗透测试实战,web渗透测试的工作流程,内容如对您有帮助，希望把文章链接给更多的朋友！

本文整理的学习路线，清晰明了，重点分明，能快速上手实践，相信想学的同学们都能轻松学完。都是干货啦，先收藏⭐再看吧。本文偏基础能让萌新们快速摸到渗透测试的门道，少走弯路，也能让正在学习的小伙伴们查漏补缺，也欢迎大佬们在评论区指正错误~ 这里附上我之前学习的路线图

一、web渗透测试是什么？

Web渗透测试分为白盒测试和黑盒测试，白盒测试是指目标网站的源码等信息的情况下对其渗透，相当于代码分析审计。而黑盒测试则是在对该网站系统信息不知情的情况下渗透，以下所说的Web渗透就是黑盒渗透。

二、web渗透步骤

Web渗透分为以下几个步骤，信息收集，漏洞扫描，漏洞利用，提权，内网渗透，留后门，清理痕迹。一般的渗透思路就是看是否有注入漏洞，然后注入得到后台管理员账号密码，登录后台，上传小马，再通过小马上传大马，提权，内网转发，进行内网渗透，扫描内网c段存活主机及开放端口，看其主机有无可利用漏洞（nessus）端口（nmap）对应服务及可能存在的漏洞，对其利用（msf）拿下内网，留下后门，清理痕迹。或者看是否有上传文件的地方，上传一句话木马，再用菜刀链接，拿到数据库并可执行cmd命令，可继续上大马…思路很多，很多时候成不成功可能就是一个思路的问题，技术可以不高，思路一定得骚。

1.前期工作

html+css+js

前端三要素 html、css、js是被浏览器解析的代码，是构成静态页面的基础。也是前端漏洞如xss、csrf的基础。

重点了解html和js

能力要求：能够写出简单表单，能够通过js获取DOM元素，控制DOM树即可。

apache+php 推荐使用phpstudy来进行傻瓜式安装，可以少走很多弯路。通过apache+php体会一下网站后端的工作，客户端浏览器通过请求apache服务器上的php脚本，php执行后生成的html页面返回给浏览器进行解析。

重点了解php

能力要求：了解基本网站原理，了解php基本语法，开发简单动态页面 mysql 之前已经安装的phpstudy可以轻易的安装mysql。mysql是一款典型的关系型数据库，一般来说，大部分网站都会带有数据库进行数据存储。

重点了解sql语句

能力要求：能够用sql语句实现增删改查，并且能用php+mysql开发一个增删改查的管理系统（如学生管理系统） python 虽然 “php是最好的语言”，但它主要还是应用在服务端做网站开发，我们搞安全经常需要写一些脚本或工具来进行诸如密码爆破、目录扫描、攻击自动化等操作，需要一个方便且趁手的编程语言，这里我推荐python

重点学习requests、BeautifulSoup、re这三个库

能力要求：了解python基础语法，能够用python爬取网站上的信息（requests+BeautifulSoup+re） burpsuite web安全的工具很多，但我觉得必备的渗透工具还得是它

重点学习Proxy、Repeater、Intruder三个模块，分别用于抓包放包、重放包、爆破