Web安全技术体系

3.1 Web基础技术

• 3.1.1 Web组成与开发基础

• 前端技术栈

• HTML/CSS基础（表单、DOM结构、响应式设计）

• JavaScript核心功能（事件处理、AJAX通信、Cookie操作）

• 动态网站搭建

• PHP基础语法与框架（如Laravel、ThinkPHP）

• 本地环境配置（Pip/Study、XAMPP集成工具）

• 3.1.2 HTTP协议与通信安全

• HTTP请求/响应结构（Header、Body、状态码）

• HTTPS加密原理（TLS握手、证书校验）

• 端口与协议安全（常见高危端口如21/FTP、445/SMB）

---

3.2 Web漏洞与渗透实战

• 3.2.1 OWASP TOP10漏洞解析

• 注入类漏洞

• SQL注入（Union注入、盲注、堆叠查询）

• 命令注入（OS命令拼接漏洞）

• 跨站攻击

• XSS漏洞（反射型、存储型、DOM型利用场景）

• CSRF漏洞（Token绕过、JSON劫持）

• 服务端漏洞

• SSRF漏洞（绕过限制、内网探测、Redis未授权利用）

• 文件上传与包含漏洞（后缀绕过、日志文件包含）

• 3.2.2 身份认证与会话安全

• 密码爆破与防御（验证码、登录限速）

• Session固定与会话劫持（Cookie篡改、JWT安全问题）

---

3.3 Web安全工具与攻防技术

• 3.3.1 渗透测试工具链

• 黑盒测试工具

• Burp Suite（Proxy模块、Intruder爆破、Repeater重放）

• SQLMap（自动化注入、Tamper脚本绕过WAF）

• 白盒审计工具

• CodeQL（代码静态分析、漏洞模式匹配）

• Semgrep（PHP/Java代码逻辑缺陷检测）

• 3.3.2 高级攻击手法

• 钓鱼攻击

• 伪造登录页（克隆网站、域名仿冒）

• 邮件钓鱼（社工话术、恶意附件投递）

• 自动化漏洞利用

• MSF框架集成（Web Delivery模块、Exploit模块）

• Nuclei（批量扫描CVE漏洞、PoC编写）

---

技术案例与靶场推荐

• 漏洞复现靶场

• DVWA（Damn Vulnerable Web App）：涵盖SQL注入、XSS等基础漏洞

• PortSwigger Web Security Academy：交互式OWASP TOP10实战环境

• 实战工具扩展

• Wfuzz（目录爆破与参数模糊测试）

• XSStrike（自动化XSS漏洞探测与利用）

---

扩展学习建议

• 研究方向

• WAF绕过技术（混淆Payload、分块传输编码）

• 云原生Web安全（Kubernetes Ingress配置、Serverless函数注入）

• 认证体系

• OSWE（高级Web漏洞利用认证）

• CEH（Web渗透测试工程师）