> 作者：雲牧青
> 來源：[恆生LIGHT雲社群](https://developer.hs.net/thread/1186)
## 前言

本文整理的學習路線，清晰明瞭，重點分明，能快速上手實踐，相信想學的同學們都能輕鬆學完。都是乾貨啦，先收藏⭐再看吧。本文偏基礎能讓萌新們快速摸到***測試的門道，少走彎路，也能讓正在學習的小夥伴們查漏補缺，也歡迎大佬們在評論區指正錯誤~

---

先上腦圖

![QQ截圖20210723160512.png](https://s4.51cto.com/images/blog/202108/02/ae2a30809f68acba55b68e8344c65843.png?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk= "2299")

其實安全測試需要的知識面是非常廣的，但跟著教程有重點地學習還是能很快理清思路上手測試的，後續可以自己深入研究，吃透這些領域的知識。

首先我們要了解什麼是***測試。

我們知道業務功能、邏輯的測試有黑盒測試和白盒測試，前者把程式看作一個不能開啟的黑盒子，在完全不考慮程式內部結構和內部特性的情況下，在程式介面進行測試，主要測試程式前臺展示的功能。後者透過檢查軟體內部的邏輯結構，對軟體中的邏輯路徑進行覆蓋測試，主要用於檢測軟體編碼過程中的錯誤。

在軟體安全測試方面，***測試類似於黑盒測試，透過模擬***的進攻非法，來測試軟體是否存在安全漏洞。此外程式碼審計類似於白盒測試，用於檢查原始碼中的安全缺陷。因為保證軟體的安全質量需要貫穿軟體的整個研發週期，進入安全行業後，大家會發現還有很多其他機制的，但這都不在本篇討論範圍，大家只需知道，***測試只是最後的安全質量驗收階段。

軟體根據執行使用場景分為很多種，PC桌面端軟體、手機APP軟體以及瀏覽器使用的Web軟體等。本文討論的就是Web軟體的***測試。

本文分為基礎知識、工具使用、基本漏洞和實踐四部分，可以依照這個順序學習，也可以靈活食用。推薦掌握基礎知識後，上手一下測試工具，然後學一個漏洞，立馬實踐一下。

最後說一下本文的熟練度：掌握>深入瞭解>瞭解。趕緊往下學起來吧！

## 一、基礎知識

要進行Web***測試所需的知識，有重點劃分，有些瞭解一點就行。後續可以深入，當然深入起來每個都可以是一個本科課程。![808020A7E0ABA060CA24558C45AE22F85C76DB.jpg](https://s4.51cto.com/images/blog/202108/02/b6578b7a6f38d651fbeaea1f4e454105.jpeg?x-oss-process=image/watermark,size_14,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_100,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk= "2059")

### 1.1 資訊保安（瞭解）

學習資訊保安是為了培養安全意識，做***測試心中當然要有個標準，知道什麼是安全的什麼是不安全的，一些漏洞的評判標準並不是固定的，出現複雜情況就需要我們自己判斷。

這個課程比較小眾，可以去慕課網看看，一般看《資訊保安概論》即可

[https://www.icourse163.org/search.htm?search=%E4%BF%A1%E6%81%AF%E5%AE%89%E5%85%A8#/](https://www.icourse163.org/search.htm?search=%E4%BF%A1%E6%81%AF%E5%AE%89%E5%85%A8#/)

這個課程可以在學習計劃中排到較低的優先順序，都是入門的，可以算視野擴充了，實際作用不大。可以瞭解資訊保安的幾個要素、***進攻流程、訪問控制模型、資訊保安的其他模型和行業標準。

#### 1.2 密碼學（深入瞭解）

這個其實也是資訊保安中的內容，但是內容較多有時可能會單獨拿出來。

密碼學有助於我們理解ssl、https、web應用中的密碼加密傳輸環節。

要掌握的內容有：

雜湊演算法的定義，雜湊演算法的暴力破解、字典破解和彩虹表。

對稱加密和非對稱加密

具體演算法我們不要求掌握，單要熟記理解各種加密的加密過程、優缺點、應用場景等。

除了去找系統的課程，我給大家推薦一個科普影片，有助於快速瞭解。

[資訊傳輸中的安全隱患](https://www.bilibili.com/video/BV1P7411375j)

[對稱加密/非對稱加密/混合加密](https://www.bilibili.com/video/BV1q7411E7oa)

[雜湊函式/訊息認證碼/重放進攻](https://www.bilibili.com/video/BV1C7411L7UZ)

[數字簽名/防事後否認/中間人進攻](https://www.bilibili.com/video/BV1KE41177kK)

[數字證照/證照鏈與CA/HTTPS](https://www.bilibili.com/video/BV1xE411N7SP)

### 1.3 計算機網路

計算機網路在web***測試中無疑是最重要的基礎，我們抓包、掃描主機開放的其他服務埠等，都是在計網基礎之上的。後續小夥伴們想深入學習推薦《計算機網路自頂向下方法》，此書像剝洋蔥一樣講解了我們目前使用的網路是如何一層一層封裝的，其中除了面試常問的tcp握手等較常見的問題，還有阻塞機制等。

#### 1.3.1 分層模型（瞭解）

瞭解tcp/ip五層模型，OSI七層模型。瞭解哪一層有哪些常用協議，要知道這些協議並不是隨意地在理論上分層分類，而是有實際的封裝關係的。

#### 1.3.2 IP、TCP協議（掌握）

深入理解ip區域網和公網、tcp套接字、路由器NAT轉發等。日後熟練了要能知道區域網IP段、熟悉一些常見的服務埠。

主要是搞懂一些IPv4的機制，為我們日常處理某些問題提供理論支撐。如測試給的環境我們肯定都能訪問，但是如果覺得存在某個漏洞，想透過控制伺服器回訪我們自己的電腦來證明存在漏洞，這時如果伺服器在公網，而你在某個區域網則會訪問失敗。

推薦影片：

[【硬體科普】IP地址是什麼東西？IPV6和IPV4有什麼區別？公網IP和私有IP又是什麼？](https://www.bilibili.com/video/BV1DD4y127r4)

順便把DNS也瞭解一下，後續使用dnslog有用。

[【硬體科普】能上QQ但是打不開網頁？詳解DNS服務，DNS解析，DNS劫持和汙染](https://www.bilibili.com/video/BV1Rp4y1a7xQ)

#### 1.3.3 HTTP協議（掌握）

瞭解HTTP報文格式、掌握一些常見頭屬性的作用、瞭解一些常見的狀態碼、掌握各種HTTP方法（GET、POST、OPTION、TRACE、PUT、DELETE等）及其引數格式和編碼。

[https://zhuanlan.zhihu.com/p/70949908](https://zhuanlan.zhihu.com/p/70949908)

[https://www.cnblogs.com/an-wen/p/11180076.html](https://www.cnblogs.com/an-wen/p/11180076.html)

#### 1.3.4 SSL、HTTPS（深入瞭解）

我們在發現一些敏感資訊明文傳輸時，會要求使用前端加密或https協議來修復。我們需要了解為什麼認定https是安全的。到後面我們開始實踐後，還可以返回來思考，為什麼我們需要在瀏覽器匯入工具的證照？為什麼伺服器用了https我們仍可以抓包看到明文？

弄清ssl和https的關係，簡單地說https=http+ssl，但是ssl技術也可用於加密其他通訊。還要ssl在網路分層模型中在第幾層，弄清https中資料封裝的順序，http、tcp、ssl的先後。

資料：[【硬核】HTTPS原理全解析](https://www.bilibili.com/video/BV1w4411m7GL)

### 1.4 Web前端（深入瞭解）

主要是學會一些html和JavaScript，才能測XSS漏洞，css樣式我們很少不涉及。

html即超文字標記語言，只需瞭解它有標籤和屬性，瀏覽器會渲染他們使文字呈現一些簡單的樣式。具體有哪些標籤不用去記。

JavaScript是網頁的指令碼語言，控制著網頁的行為，屬於動態程式語言，靈活強大。跨站指令碼進攻中的指令碼指的就是 JavaScript。我們學習JavaScript並不是拿去寫前端的，只是用於測試網頁是否存在漏洞，側重點在於搞懂有哪些方式能夠觸發js程式碼，也就是花式觸發js程式碼，我們一般用函式alert來證明js被觸發。

常見的幾點：script標籤、所有標籤中的事件、部分標籤中的src屬性和href屬性data屬性。

[現代 JavaScript 教程](https://zh.javascript.info/)

### 1.5 瀏覽器機制（掌握）

掌握瀏覽器同源策略、web身份認證

同源策略和cookie共同支撐起了web的身份認證基礎。

[瀏覽器的同源策略](https://developer.mozilla.org/zh-CN/docs/Web/Security/Same-origin_policy)

[一文帶你看懂cookie，面試前端不用愁](https://zhuanlan.zhihu.com/p/52091630)

### 1.6 SQL

要求學會基本語法即可。主流的資料庫有MySQL和Oracle，二者語法有些差別。

推薦先學MySQL，看書即可，推薦《MySQL必知必會》，很薄很小的一本書，很快就能啃完。

至於Oracle，補習一下字串拼接、對應的sleep函式等，就可以應付sql注入了。

### 1.7 linux shell

若是碰到命令執行的點，學習一下一句話反彈shell，以及反引號的命令替換，即輸出字串時，把字串中反引號的部分替換為其執行的結果。當然，最好先用nmap掃描一下確認是Linux機器。

想要上手Linux命令列or運維等，推薦教程：

[【狂神說Java】Linux最通俗易懂的教程阿里雲真實環境學習](https://www.bilibili.com/video/BV187411y7hF)

### 1.8 行業術語

白帽子：一般指正面的***

Payload：有效的進攻程式碼

Poc：可以說是漏洞驗證程式，執行這個程式就可以檢測是否存在漏洞。一些驗證起來繁瑣、步驟多的漏洞，可以寫Poc來提高效率。

CVE：英文全稱是 “Common Vulnerabilities & Exposures” 通用漏洞披露。CVE就好像是一個字典表，為廣泛認同的資訊保安漏洞或者已經暴露出來的弱點給出一個公共的名稱。

反序列化：可以理解為序列化是指將一個資料結構輸出為字串的過程，反序列化是根據字串生成資料結構的過程，在Java後端中字串是json格式，資料結構就指類。

其他一些屬於可能字面意思就能理解，如弱口令、弱密碼、簡訊轟炸......

## 二、工具使用

### 2.1 BurpSuite

這個是我們***測試的利器，除了強大的抓包、重放功能，還有暴力破解、支援外掛等。

[burpsuite實戰指南](https://t0data.gitbooks.io/burpsuite/content/chapter1.html)

重點是Proxy模組以及證照安裝，配置好就能開始抓包了；Repeater模組是重放，很簡單；Intruder模組是暴力破解，有時候可能需要字典，但是測試過程中證明暴力破解一般不需要真的去找個幾千幾萬甚至幾十萬的字典...

筆者只說一個技巧，就是如何排除瀏覽器自身的包、心跳報文等垃圾資訊的干擾。

1. Proxy的Option中勾選最下面的Don't send items to Proxy history or live tasks, if out of scope
2. Target的Scope中Include in scope中新增一個any，Exclude from scope中新增你的黑名單url，支援正則，也可以在Proxy中選中報文右鍵Remove from scope新增
3. 儲存規則，每次啟動時自動載入

### 2.2 netcat

安全測試中的瑞士軍～刀，使用一般是 `nc -lvvp`

用於接收反彈過來的shell，或是接收http請求。

### 2.3 dnslog

在[1.2.2 IP、TCP協議（掌握）](### 1.2.2 IP、TCP協議（掌握）)中我們提到，有些情況我們需要一個公網機器來接收被測伺服器的請求，如果是簡單的http請求等，我們可以使用[dnslog](http://www.dnslog.cn/)

如果是檔案包含，遠端呼叫，那隻能使用公網主機了。

### 2.4 sqlmap

新人可以試試，自動檢測sql注入的工具。

一般我們都把burp的報文儲存到txt裡，這樣就直接有cookie了，然後在要注入的點打上星號*，sqlmap執行 `python sqlmap.py -r %filepath%` 即可，其它引數：

[https://www.cnblogs.com/insane-Mr-Li/p/10150165.html](https://www.cnblogs.com/insane-Mr-Li/p/10150165.html)

一般會追加一些引數來指定成功注入後，幹一些什麼事，如執行系統命令、列出資料庫名等。

### 2.5 Nmap

主要用於掃描主機開放的不安全的服務，以及判斷作業系統型別（當然這個參考就行，不一定準）

安裝帶圖形介面的，掃描時配置選all TCP ports

## 三、基本漏洞

學習和快速上手業務方面的安全問題，我推薦書籍《Web***指業務安全實戰指南》，這本書比之前推薦的必知必會要厚，但其實字數不多，也很好理解，看一遍不會花太多時間，但是能讓讀者快速入門實踐。

再進一步學習推薦《白帽子講Web安全》

其實大大小小地漏洞很多，甚至每個CVE都能算一個漏洞，但是哪些要覆蓋測試，根據自己的情況而定，自己可以列一個測試清單。一些漏洞的測試技巧甚至步驟都是固定的，這裡羅列一下，大家自行整理。

- 認證模組、使用者系統

- 資訊洩露
  - 暴力破解
  - 認證繞過
  - 登入處注入
- 配置安全     使用者系統

- cookie未設定HttpOnly
  - 開啟了不安全的HTTP方法
  - Host頭進攻
  - URL跳轉
- Session測試
- 使用者許可權管理

- 未授權
  - 越權訪問
- 資訊洩露
- 檔案上下載
- CSRF & ***F
- XXE外部實體注入

- 報文注入
  - 匯入檔案注入
- SQL隱碼攻擊
- XSS指令碼注入
- 服務端命令注入
- 邏輯漏洞

最後再推薦一個專案 [owasp top10](https://wiki.owasp.org/images/d/dc/OWASP_Top_10_2017_%E4%B8%AD%E6%96%87%E7%89%88v1.3.pdf) ，開放式Web應用程式安全專案（OWASP，Open Web Application Security Project）是一個非營利性組織，它提供有關計算機和網際網路應用程式的公正、實際、有成本效益的資訊。其top10專案列出了Web前10的漏洞，有興趣的可以研究研究。

## 四、實踐

學了知識當然要實踐檢驗一番才能加深理解和記憶，但是沒有網站測怎麼辦呢？測公網上運營的網站是不可取的哦。

用於練習的網站我們稱之為靶機或靶場，推薦dvwa，一個用php寫的web服務，我們下載phpstudy就能搭建

[DVWA+Phpstudy靶場平臺搭建](https://blog.csdn.net/qq_42263820/article/details/106749458)

搭建好就能自己練習了，可以自己先過一遍。沒思路的話可以看教程。[lonehand](https://www.freebuf.com/author/lonehand)曾寫了一系列很好的教程，但是最近都被freebuf下架了，可以看看這裡的搬運：

[https://www.cnblogs.com/linuxsec/category/912871.html](https://www.cnblogs.com/linuxsec/category/912871.html)

【安全測試工程師】超實用的Web滲透測試學習路線～

相關文章