現在 web 安全工程師比較火，崗位比較稀缺，現在除了一些大公司對學歷要求嚴格，其余公司看中的大部分是能力。
有個親戚的兒子已經工作 2 年了……當初也是因為其他的行業要求比較高，所以才選擇的 web 安全方向。
資料免費分享給你們，幫助大家從網絡安全的小白進階！
那么成為一名 web 安全工程師需要哪些技能呢？下面就告訴你。
01 環境的搭建
1、熟悉基本的虛擬機配置。2、Kali linux，centos，Windows 實驗虛擬機 3、自己搭建 IIS 和 apache4、部署 php 或者
asp 的網站 5、搭建 Nginx 反向代理網站 6、了解 LAMP 和 LNMP 的概念
02 熟悉滲透相關工具
熟悉 AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan、Msf 等相關工具的使用。
了解該類工具的用途和使用場景，先用軟件名字 Googl；下載軟件進行安裝；
學習并進行使用，具體教材可以在 SecWiki 上搜索，例如：Brup 的教程、sqlmap；
待常用的這幾個軟件都學會了可以安裝音速啟動做一個滲透工具箱；
了解 msf 的基礎知識，對于經典的 08_067 和 12_020 進行復現
03Web 安全相關概念
1、熟悉基本概念（SQL 注入、上傳、XSS、CSRF、一句話木馬等）。
2、通過關鍵字（SQL 注入、上傳、XSS、CSRF、一句話木馬等）進行 Google/SecWiki；
3、閱讀書籍，雖然很舊也有錯誤，但是入門還是可以的；
4、看一些滲透筆記/視頻，了解滲透實戰的整個過程，可以 Google（滲透筆記、滲透過程、入侵過程等）；
免費領取 20G 網絡視頻筆記+開發工具
04 滲透實戰操作
掌握滲透的整個階段并能夠獨立滲透小型站點。
網上找滲透視頻看并思考其中的思路和原理，關鍵字（滲透、SQL 注入視頻、文件上傳入侵、數據庫備份、dedecms 漏洞利用等等）；
自己找站點/搭建測試環境進行測試，記住請隱藏好你自己；
思考滲透主要分為幾個階段，每個階段需要做那些工作，例如這個：PTES 滲透測試執行標準；
研究 SQL 注入的種類、注入原理、手動注入技巧；
研究文件上傳的原理，如何進行截斷、雙重后綴欺騙(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，參照：上傳攻擊框架；
研究 XSS 形成的原理和種類，具體學習方法可以 Google/SecWiki，可以參考：XSS；
研究 Windows/Linux 提權的方法和具體使用，可以參考：提權；可以參考: 開源滲透測試脆弱系統；
05 關注安全圈動態
1、關注安全圈的最新漏洞、安全事件與技術文章。每日的安全技術文章/事件，天天抽時間刷一下；
2、通過 feedly/鮮果訂閱國內外安全技術博客（不要僅限于國內，平時多注意積累），沒有訂閱源的可以看一下 SecWiki 的聚合欄目；
3、養成習慣，每天主動提交安全技術文章鏈接到 SecWiki 進行積淀；多關注下最新漏洞列表，推薦幾個：exploit-db、CVE 中文庫、Wooyun
等，遇到公開的漏洞都去實踐下。
4、關注國內國際上的安全會議的議題或者錄像，推薦 SecWiki-Conference。
06 熟悉 Windows/Kali Linux
學習 Windows/Kali Linux 基本命令、常用工具。
熟悉 Windows 下的常用的 cmd 命令，例如：ipconfig,nslookup,tracert,net,tasklist,taskkill
等；
熟悉 Linux 下的常用命令，例如：ifconfig,ls,cp,mv,vi,wget,service,sudo 等；
熟悉 Kali Linux 系統下的常用工具；
熟悉 metasploit 工具。
07 服務器安全配置
學習服務器環境配置，并能通過思考發現配置存在的安全問題。Windows2003/2008 環境下的 IIS 配置，特別注意配置安全和運行權限
Linux 環境下的 LAMP 的安全配置，主要考慮運行權限、跨目錄、文件夾權限等
遠程系統加固，限制用戶名和口令登陸，通過iptables限制端口；配置軟件Waf加強系統安全，在服務器配置ShareWAF、modsecurity等系統，ShareWAF簡單易用，小而美，推薦使用，modsecurity
有些復雜，需要配大量規則
通過 Nessus 軟件對配置環境進行安全檢測，發現未知安全威脅。
08 腳本編程學習
選擇腳本語言 JS/Perl/Python/PHP/Go 中的一種，對常用庫進行編程學習。
搭建開發環境和選擇 IDE，PHP 環境推薦 Wamp 和 XAMPP，IDE 強烈推薦 Sublime，一些 Sublime 的技巧：SecWiki-
Sublime；
Python 編程學習，學習內容包含：語法、正則、文件、網絡、多線程等常用庫，推薦《Python 核心編程》，不用看完；
用 Python 編寫漏洞的 exp，然后寫一個簡單的網絡爬蟲，可以去小破站看免費的視頻；
PHP 基本語法學習并書寫一個簡單的博客系統，參見《PHP 與 MySQL 程序設計（第 4 版）》；
熟悉 MVC 架構，并試著學習一個 PHP 框架或者 Python 框架（可選）；
了解 Bootstrap 的布局或者 CSS，可以參考：Bootstrap;
09 源碼審計與漏洞分析
能獨立分析腳本源碼程序并發現安全問題。
熟悉源碼審計的動態和靜態方法，并知道如何去分析程序，參見：審計；
從 Wooyun 上尋找開源程序的漏洞進行分析并試著自己分析；
了解 Web 漏洞的形成原因，然后通過關鍵字進行查找分析，參見-代碼審計、高級 PHP 應用程序漏洞審核技術；
研究 Web 漏洞形成原理和如何從源碼層面避免該類漏洞，并整理成 checklist。
10 安全體系設計與開發
能建立自己的安全體系，并能提出一些安全建議或者系統架構。
開發一些實用的安全小工具并開源，體現個人實力；
建立自己的安全體系，對公司安全有自己的一些認識和見解；
提出或者加入大型安全系統的架構或者開發；
還是不太了解的可以跟我要個入門的基礎介紹。
?最后
今天只要你給我的文章點贊，我私藏的網安學習資料一樣免費共享給你們，來看看有哪些東西。
網絡安全學習路線&學習資源
網絡安全學習路線
這是一份網絡安全從零基礎到進階的學習路線大綱全覽，小伙伴們記得點個收藏！
階段一：基礎入門
該階段學完即可年薪15w+
網絡安全導論
滲透測試基礎
網絡基礎
操作系統基礎
Web安全基礎
數據庫基礎
編程基礎
CTF基礎
階段二：技術進階（到了這一步你才算入門）
該階段學完年薪25w+
弱口令與口令爆破
XSS漏洞
CSRF漏洞
SSRF漏洞
XXE漏洞
SQL注入
任意文件操作漏洞
業務邏輯漏洞
階段三：高階提升
該階段學完即可年薪30w+
反序列化漏洞
RCE
綜合靶場實操項目
內網滲透
流量分析
日志分析
惡意代碼分析
應急響應
實戰訓練
階段四：藍隊課程
攻防兼備，年薪收入可以達到40w+
藍隊基礎
藍隊進階
該部分主攻藍隊的防御，即更容易被大家理解的網絡安全工程師。
階段五：面試指南&階段六：升級內容
需要上述路線圖對應的網絡安全配套視頻、源碼以及更多網絡安全相關書籍&面試題等內容
同學們可以掃描下方二維碼獲取哦！
學習教程
第一階段：零基礎入門系列教程
第二階段：學習書籍
第三階段：實戰文檔
尾言
最后，我其實要給部分人潑冷水，因為說實話，上面講到的資料包獲取沒有任何的門檻。
但是，我覺得很多人拿到了卻并不會去學習。
大部分人的問題看似是“如何行動”，其實是“無法開始”。
幾乎任何一個領域都是這樣，所謂“萬事開頭難”，絕大多數人都卡在第一步，還沒開始就自己把自己淘汰出局了。
如果你真的確信自己喜歡網絡安全/黑客技術，馬上行動起來，比一切都重要。
特別聲明：
此教程為純技術分享！本書的目的決不是為那些懷有不良動機的人提供及技術支持！也不承擔因為技術被濫用所產生的連帶責任！本書的目的在于最大限度地喚醒大家對網絡安全的重視，并采取相應的安全措施，從而減少由網絡安全而帶來的經濟損失。！！！
)
