信息安全如何入坑挖洞？

大家对于信息安全或网络安全比较熟悉的词应该就是“黑客”了吧，事实上从事网络安全的人在技能上确实让你说一句“我擦，这也可以”。信息安全领域的内容比较杂，很多大学是信息安全专业的同学发现毕业时好像什么也没学到，又有一些非信息安全专业却此次很有兴趣想要自学的，该如何走好第一步，或者要经过几步才能真正入坑？

学习·理论

首先肯定要学一些技术方法论了，这个阶段就是入门，C、C++、汇编都是基础中的基础，还有例如软件逆向以及软件调试等初级知识需要掌握，有了这些打底之后，才能深入操作系统内核去了解些操作系统的真正原理。

Web安全的技能点同样多的数不过来，因为要搞Web方向的安全，意味初学者要对Web开发技术有所了解，例如能通过前后端技术做一个Web网站出来，好比要搞[网络安全]，首先要懂如何搭建一个网络出来。那么，Web技术就涉及到以下内容：

通信协议：TCP、HTTP、HTTPs

操作系统：Linux、Windows

服务架设：Apache、Nginx、LAMP、LNMP、MVC架构

数据库：MySQL、SQL Server、Oracle

编程语言：前端语言（HTML/CSS/JavaScript）、后端语言（PHP/Java/ASP/Python）

如果按照上面的技能全部学完，不仅时间周期非常长，估计大部分人连学后面安全的兴趣都没有了。所以，这就说到Web安全这个行业另外一个常态了：大部分做Web安全的，并不是刚开始就对Web开发技术非常熟悉的，很多都是半路杀出来了，甚至连Web网站都没有架设过的，这种大有人在。因此有更加狭义的Web安全技术点：

安全理论：OWASP TOP 10 、PETS、ISO 27001…

后端安全：SQL注入、文件上传、Webshell（木马）、文件包含、命令执行…

前端安全：XSS跨站脚本攻击、CSRF跨站请求伪造…

安全产品：Web漏洞扫描（Burp/WVS/Appscan）、WAF（Web应用防火墙）、IDS/IPS（Web入侵防御）、Web主机防护

因此，Web开发技术和Web安全技术其实是相辅相成的，如果对Web开发比较熟悉，意味着研究Web安全时能够更加底层，而不止于安全工具和脚本层面。

>>>.学习 Web 安全方向需要有一定的编程基础<<<<

推荐书单：

《白帽子讲Web安全》

《Hacking the Hacker》

《黑客大曝光》

分享一点知识图谱：

比如一些前辈的分享：

https://zhuanlan.zhihu.com/p/35753603

https://zhuanlan.zhihu.com/p/24698829

https://www.zhihu.com/question/23190460/answer/555364236

网盘资料：

【汇总篇】工具及教程分享链接:

链接:https://pan.baidu.com/s/1uzVqksn44fP2iba5qrJLVA 密码:u8p4

【其他 1】linux下无限制版nessus，重新更新链接: https://pan.baidu.com/s/1byuxNOacLhIgwijAqW6NWg提取码: 2333

最新更新包，部署和密码看图链接:

https://pan.baidu.com/s/1OHQJcy1I6fVJGXh-BAG_eA提取码: 23g8

【其他2】Linux版awvs最新版v_190325161破解

链接: https://pan.baidu.com/s/1L_X8DdtSGGmtddaaK7MT1Q提取码: v463

【其他3】Burpsuite和Metasploit基础教程

链接: https://pan.baidu.com/s/13jHPIXPWFl5tZShtQjiEwQ提取码: 4a65

链接:https://pan.baidu.com/s/1pVp8aG0m_qFSuPs1MZvhyA提取码:risd

链接:https://pan.baidu.com/s/1f5jIASYksUSR76CcT-I0xQ 密码:jdux

以上是告诉你怎么学，接下来说学会了怎么去动手啊？“没病你就出来走两步”，实践是检验真理的唯一办法——挖洞，有很多漏洞安全提交平台可以让你去挖洞，又或者参加一些CTF比赛，如何参加，可以看我之前的一篇内容：https://www.zhihu.com/question/321053471/answer/745274731

实践 · 挖洞

去SRC厂商挖洞，比如这些，我这里就不一一赘述了：

挖洞流程：

• 利用搜集好的域名

Github搜索“src 域名”

https://github.com/search?q=src+域名

• SRC基础信息收集

微信公众号、xxsrc微信群。主要关注双倍积分活动、奖励大小、技术交流群里的信息。

• 通过公开信息掌握基础漏洞

在公开了漏洞标题的平台找最近活跃的漏洞类型是什么，然后找相关的实例学习。

• 通过公开信息掌握赏金较高的业务系统

通过某些公开了的漏洞标题找到业务系统，然后找同类型业务系统测试

https://sec.ly.com/bugs

https://hackerone.com/hacktivity?sort_type=latest_disclosable_activity_at&filter=type%3Aall&page=1&range=forever

https://dvpnet.io/lddt

• 大量的漏洞提交

不同的应急响应中心对业务漏洞的关注度不同，多提交才能知道哪些漏洞是能够高危的

1.不通过是因为写的不够详细，审核复现太麻烦，没有url，

2.教育和政府类发现xss不收，高危漏洞类型收的快

3.getshell评分高

• 漏洞新玩法

1.代码审计白盒挖掘传统漏洞

2.传统漏洞比较少（更多是业务逻辑，越权，资源耗尽导致的拒绝服务，多个漏洞的组合拳（xss+csrf)）

3.需要更深层的资产搜集（比如阿里18周年，app搜集）

4.跟踪最新业务（京东618之前，上线了京东保租业务，近期上线了京东房产）

5.大数据分析（采集白帽子们提交的漏洞标题，分析挖洞行为）

6.业务和漏洞威胁情报

7.app漏洞挖掘

8.c/s架构漏洞挖掘/lot设备漏洞挖掘

9.hacker0ne公开的漏洞姿势学习和twitter上的分享

• 漏洞扫描器收集

Scanners Box是一个集合github平台上的安全行业从业者自研开源扫描器的仓库

https://github.com/We5ter/Scanners-Box

原博客地址：https://www.cnblogs.com/17bdw/p/11816373.html

一旦你入门信息安全了，请严格遵守法律，树立正确价值观，以上的分享大部分来自网络整理。

本文作者：牛油果 1472301220

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/135438.html