『壹』 零基礎如何學習web滲透
web後台開發學習步驟: 1、學習HTML和CSS。HTML（超文本標記語言）是網頁的核心，學好HTML是成為Web開發人員的基本條件。學習CSS了，它可以幫你把網頁做得更美觀。利用HTML和CSS模擬一些你所見過的網站的排版和布局（色彩，圖片，文字樣式等等）。 2、學習javascript,了解DOM。JavaScript是一種能讓你的網頁更加生動活潑的程序語言。學習JavaScript的基本語法，學會用javascript操作網頁中dom元素。接著學習使用一些javascript庫，比如jquery是大部分WEB開發人員都喜歡用的，通過Jquery可以有效的提高JavaScript的開發效率。 3、了解Web伺服器。學習一點Unix和Linux的基本知識，因為大部分Web伺服器都運行在Unix和Linux平台上。 4、學好一門伺服器端腳本語言。目前流行的伺服器腳本語言有：php、asp.net、jsp、ruby、python等。可以選一個自己喜歡的進行學習。 5、學習資料庫及sql語
『貳』 新手想要學web滲透，網路安全，要如何開始
首先想想是不是真心想學，這條路註定孤獨寂寞，不斷碰壁。
想好後，就要每天堅持。
我的一些建議：每天多任務進行，比如早上兩小時看英語學習，之後看語言，（C語言之後python之後php），下午看些網路上的滲透資料，晚上實踐，等到資料看完。可以開始看看滲透博客，然後下午晚上自由分配
『叄』 前輩學習滲透需要精通web前端知識么
前端前景是很不錯的，像前端這樣的專業還是一線城市比較好，師資力量跟得上、就業的薪資也是可觀的，學習前端可以按照路線圖的順序，
0基礎學習前端是沒有問題的，關鍵是找到靠譜的前端培訓機構，你可以深度了解機構的口碑情況，問問周圍知道這家機構的人，除了口碑再了解機構的以下幾方面：
1. 師資力量雄厚
要想有1+1>2的實際效果，很關鍵的一點是師資隊伍，你接下來無論是找個工作還是工作中出任哪些的人物角色，都越來越愛你本身的技術專業前端技術性，也許的技術專業前端技術性則絕大多數來自你的技術專業前端教師，一個好的前端培訓機構必須具備雄厚的師資力量。
2. 就業保障完善
實現1+1>2效果的關鍵在於能夠為你提供良好的發展平台，即能夠為你提供良好的就業保障，讓學員能夠學到實在實在的知識，並向前端學員提供一對一的就業指導，確保學員找到自己的心理工作。
3. 學費性價比高
一個好的前端培訓機構肯定能給你帶來1+1>2的效果，如果你在一個由專業的前端教師領導並由前端培訓機構自己提供的平台上工作，你將獲得比以往更多的投資。
希望你早日學有所成。
『肆』 如何系統學習web安全，web滲透測試
首先得清楚web安全/web滲透是什麼：模擬黑客攻擊，利用黑客技術，挖掘漏洞，提出修復建議。
涉及到的技術有：資料庫/網路技術/編程技術/操作系統/滲透技術/攻防技術/逆向技術/SRC漏洞平台/ctf經驗。。
崗位能力要求：
1、熟練使用awvs、nessus、metasploit、burpsuite等安全測試工具，並對其原理有一定了解
2、熟悉OWASP中常見的web安全漏洞、業務邏輯漏洞及其原理
3、熟悉滲透測試技術的整體流程，具備獨立開展滲透工作的能力；
4、熟悉linux系統操作，了解常見web中間件、資料庫、伺服器相關漏洞
5、至少掌握一種編程語言，能夠開發用於輔助日常工作的腳本
6、具備一定的php或java代碼審計能力，能夠對公開漏洞進行分析
7、具備良好的邏輯思維、溝通技巧及團隊協作能力
8、已取得信息安全等級測評師證書的優先。（NISP）
想要系統的學習web滲透，可以參考企業對人才的要求進行學習。
『伍』 求推薦web滲透入門書籍
現在網站都有安全狗了。
網站也基本都是php的
滲透已經不好搞了， 要是00年到12年 那時候隨便滲透
建議你看下網站建設 和網站開發的書籍吧 更有用 自己建網站不是更好?
好多高手都是網站開發的高手！！
『陸』 關於web滲透 我上網查了查說要學html之類的基礎，我學習了html css javas
學習一下SQL、vb等資料庫語言；能更好的達到想要的目的。
對PHP和資料庫多了解一下。
『柒』 滲透測試需要學那些知識
web黑客滲透測試入門需要學哪些？
學習web滲透，就是從零散到整體。我們入門門檻比較低，學會用工具就可以了。但是從入門到另一個層次就比較難了，也是大部分腳本小子迷茫的地方。
在web滲透的核心那就是思路，大量的思路來源是來自於自己的知識積累和豐富的經驗。 學而不思則罔思而不學則殆。
當我找到了一個注入點：
首先放進工具一點，工具提示不存在注入。很奇怪，明明是存在的，發個某大牛，某大你不想說話並向你扔了個鏈接，你發現居然爆出了帳號密碼。
太多的人都是處於這個超級小白階段，這個階段處於菜鳥階段，我稱為打哪是哪。
我來問問：
brup suite你會用？你會用來做什麼，爆破？你知道怎麼抓包分析post注入嗎？你知道繞過上傳時brup suite的神奇之處嗎？
sqlmap 你會用？你會用來做什麼，-u？-dbs？你知道怎麼在sqlmap中執行sql語句嗎？你知道sqlmap怎麼反彈shell嗎？
xss 你都懂？你知道xss平台那麼多模塊都有什麼妙用嗎？你知道尖括弧過濾都有哪些繞過方式嗎？
入門學習思考 可能遇到的問題 和新手需知：
你知道svn源代碼泄露是什麼？通過審計代碼能做到什麼嗎？
你知道在發現st2漏洞命令執行時出現目錄限制的時候怎麼突破嗎？有多少種方式可以突破，在什麼樣的場景下容易出現，如果有殺軟怎麼繞過嗎？
你知道在3306允許外鏈的情況下可以爆破嗎？你以為掃描器會把埠的風險都列出來給你嗎？
你知道一個縝密的郵箱偽造&社工可能就能導致網站淪陷嗎？
你知道遇到weblogic等弱口令的時候如何去部署war拿shell嗎？
你知道各種java中間件的埠是哪些嗎？各種反序列化漏洞是怎麼樣快速定位資料庫配置文件的嗎？
你知道http://ASP.NET填充Oracle漏洞的利用方法嗎？你知道掃描器都是誤報嗎？你知道手工怎麼測試漏洞真實存在嗎？
你知道oa系統都有哪些通用注入和無限制getshell嗎？
你知道phpmyadmin可以爆破嗎？什麼樣的版本可以爆路徑，什麼樣的版本幾乎拿不到shell嗎？
太多太多了，我上面提到的也只是web方面的冰山一角，後面的提權、內網等等難題如海。
『捌』 web滲透測試 學習什麼 知乎
通過關鍵字（SQL注入、上傳、XSS、CSRF、一句話木馬等）進行Google/SecWiki；
閱讀《精通腳本黑客》，雖然很舊也有錯誤，但是入門還是可以的；
看一些滲透筆記/視頻，了解滲透實戰的整個過程，可以Google（滲透筆記、滲透過程、入侵過程等）；
『玖』 如何進行Web滲透測試
什麼是滲透測試？
滲透測試，是滲透測試工程師完全模擬黑客可能使用的攻擊技術和漏洞發現技術，對目標網路、主機、應用的安全作深入的探測，發現系統最脆弱的環節。
如何進行Web滲透測試？
完整web滲透測試框架當需要測試的web應用數以千計，就有必要建立一套完整的安全測試框架，流程的最高目標是要保證交付給客戶的安全測試服務質量。
1、立項：項目建立，時間安排，人力分配，目標制定，廠商介面人確定；
系統分析&威脅分析：針對具體的web應用，分析系統架構、使用的組件、對外提供的介面等，以STRIDE為威脅模型進行對應的安全威脅分析，輸出安全威脅分析表，重點關注top3威脅；
制定測試用例：根據威脅分析的結果制定對應的測試用例，測試用例按照模板輸出，具備可執行性；
測試執行&漏洞挖掘：測試用例執行&發散測試，挖掘對應的安全問題or漏洞；
問題修復&回歸測試：指導客戶應用開發方修復安全問題or漏洞，並進行回歸測試，確保安全問題or漏洞得到修復，並且沒有引入新的安全問題；
項目總結評審：項目過程總結，輸出文檔評審，相關文檔歸檔。
2、Web應用的滲透測試流程
主要分為3個階段，分別是：信息收集→漏洞發現→漏洞利用，下面仔細分析一下各個階段流程：
一、信息收集
在信息收集階段，我們需要盡量多的收集關於目標web應用的各種信息，比如：腳本語言的類型、伺服器的類型、目錄的結構、使用的開源軟體、資料庫類型、所有鏈接頁面，用到的框架等
腳本語言的類型：常見的腳本語言的類型包括：php、asp、aspx、jsp等
測試方法：
1 爬取網站所有鏈接，查看後綴
2 直接訪問一個不存在頁面後面加不同的後綴測試
3 查看robots.txt，查看後綴
伺服器的類型：常見的web伺服器包括：apache、tomcat、IIS、ngnix等
測試方法：
1 查看header，判斷伺服器類型
2 根據報錯信息判斷
3 根據默認頁面判斷
目錄的結構：了解更多的目錄，可能發現更多的弱點，如：目錄瀏覽、代碼泄漏等。
測試方法
1 使用字典枚舉目錄
2 使用爬蟲爬取整個網站，或者使用google等搜索引擎獲取
3 查看robots.txt是否泄漏
使用的開源軟體：我們如果知道了目標使用的開源軟體，我們可以查找相關的軟體的漏洞直接對網站進行測試。
測試方法
指紋識別（網路上有很多開源的指紋識別工具）
資料庫類型：對於不同的資料庫有不同的測試方法。
測試方法
1 使應用程序報錯，查看報錯信息
2 掃描伺服器的資料庫埠（沒做NAT且防火牆不過濾時有效）
所有鏈接頁面：這個跟前面的獲取目錄結構類似，但是這個不只是獲取網站的所有功能頁面，有時候還可以獲取到管理員備份的源碼。
測試方法
1 使用字典枚舉頁面
2 使用爬蟲爬取整個網站，或者使用google等搜索引擎獲取
3 查看robots.txt是否泄漏
用到的框架：很多網站都利用開源的框架來快速開發網站，所以收集網站的框架信息也是非常關鍵的。
測試方法
指紋識別（網路上有很多開源的指紋識別工具）
二、漏洞發現
在這個階段我們在做測試的時候要對症下葯，不能盲目的去掃描，首先要確定目標應用是否使用的是公開的開源軟體，開源框架等、然後在做深一度的漏洞掃描。
關於開源軟體的漏洞發現
開源的軟體：常見的開源軟體有wordpress、phpbb、dedecms等
開源的框架：常見的開源框架有Struts2、 Spring MVC、ThinkPHP等
中間件伺服器：常見的中間件伺服器有jboss、tomcat、Weblogic等
資料庫服務：常見的資料庫服務mssql、mysql、oracle、redis、sybase、MongoDB、DB2等
對於開源軟體的測試方法
1 通過指紋識別軟體判斷開源軟體的版本信息，針對不同的版本信息去開放的漏洞資料庫查找相應版本的漏洞進行測試
2 對於默認的後台登錄頁、資料庫服務埠認證等入口可以進行簡單的暴力破解、默認口令嘗試等操作
3 使用開源的漏洞發現工具對其進行漏洞掃描，如：WPScan
關於自主開發的應用
手動測試：這個階段，我們需要手工測試所有與用戶交互的功能，比如：留言、登入、下單、退出、退貨、付款等操作
軟體掃描：使用免費的軟體掃描，如：appscan、wvs、netsparker，burp等
可能存在的漏洞
Owasp關鍵點
代碼安全之上傳文件
代碼安全之文件包含
代碼安全之SSRF
邏輯漏洞之密碼重置
邏輯漏洞之支付漏洞
邏輯漏洞之越權訪問
平台安全之中間件安全
三、漏洞利用
針對不同的弱點有不同的漏洞利用方式，需要的知識點也比較多。一般這個階段包括兩種方式，一種是手工測試，一種是工具測試
手工測試
手工測試是通過客戶端或伺服器訪問目標服務，手工向目標程序發送特殊的數據，包括有效的和無效的輸入，觀察目標的狀態、對各種輸入的反應，根據結果來發現問題的漏洞檢測技術。手工測試不需要額外的輔助工具，可由測試者獨立完成，實現起來比較簡單。但這種方法高度依賴於測試者，需要測試者對目標比較了解。手工測試可用於Web應用程序、瀏覽器及其他需要用戶交互的程序。
這種方式對於有特殊過濾等操作，或者網路上沒有成型的利用工具的時候可以使用。
工具測試
網路上有很多好用的免費利用工具，比如針對sql注入的sqlmap、針對軟體漏洞的matesploit等。