每一个已经入门一个领域的人都有自己的一套入门方法，在无人指点的情况下，通过自己的摸索加上努力的沉淀逐渐成为一个领域的专家，从入门到成为专家也只是时间的问题，如果有高人指点，那么入门的时间会大大缩短，将那些无意义且浪费时间的部分忽略掉，从而以最短的时间获得最高的收益。
今天分享的一套学习路径，我认为是最好最有效的，可能不适用于所有人，只要有人从中受益，那么今天的分享就是价值的，那么如何更好更有效的入门 web 安全呢？你是如何入门的，欢迎评论区分享。
第一个小目标：编写一个 web 应用系统
首先 web 安全是什么？web 安全的主体是 web 系统，当你对 web 系统都不熟悉的情况下，如何做好 web 安全呢？所以我们入门 web 安全的第一步是熟悉 web 系统，了解 web 系统由哪些组件构成，不同组件的作用是什么，然后是有哪些功能，如何实现的。
如何快速了解 web 系统？我认为编写一个 web 系统是最快速，最有效的方式，在这个过程中，你需要学习：
1、web 系统的中间件服务器，如何搭建，如何配置
2、http 协议原理，看得懂网站交互的数据包
3、前端技术，html、css、javascript 之间的关系，前端常见框架等
4、后端技术，与数据库交互、文件操作等功能的实现原理，以及后端语言有哪些
5、编程技术，选定后端语言后如何实现功能，也就是编程算法
有了这些基础之后，再去理解漏洞的原理和漏洞的测试方法，将会事半功倍，所以初学者入门 web 安全需要制定的第一个小目标就是，自己编写一个简易的 web 系统，功能可以不多，但是要覆盖最常见的功能，至于编程语言的选定，根据自身的兴趣而定，比如 php+mysql+nginx+apache、java+tomcat+spring+mysql、asp.net+iis+mssql 等。
第二个小目标：学习漏洞原理，发现自己网站的漏洞
第一个小目标最关注的是功能的实现，对于安全无需过多考虑，不然整个时间线就拉长，可以选在在特定的时间完成特定的事情，让学习更加聚焦。在此基础上，你开发的网站可能会存在各种各样的漏洞，接下来的目标就是通过漏洞的学习来发现自己网站的所有漏洞。
因为系统是由你开发的，所有的功能和代码都是由你编写，这套系统，没有人会比你更加熟悉，所以在学习漏洞原理的时候，思考自己在处理相关问题时是否存在相应的问题，然后进行测试，发现漏洞之后，试着根据漏洞原理去修复该问题。
在实际的渗透测试过程中，了解系统的功能、架构是第一步，只有这样才能更好的测试和发现网站的隐藏漏洞，这是一个非常好的积累漏洞知识的过程。
你的系统可能不会覆盖所有漏洞，所以可以基于漏洞列表进行一一学习测试，直到将所有漏洞学习测试完毕，然后整理出自己的测试列表，记录测试的种类、方法、步骤，这个在你未来的工作中也可以一一对照进行测试。
第三个小目标：选择 SRC 目标系统，一一测试，直到发现漏洞
前两个目标都是在学习积累，第三个目标就是实战，通过自己的技术积累，让其发挥价值，发现企业的漏洞，并报告，获得第一份赏金漏洞。
在第二个小目标学习的过程中，你已经有了一个测试的检查项列表，也就是针对任意网站，你已经知道如何测试，测试哪些内容，接下来就是要获取目标列表，然后一一测试，所以这个目标的关键是获取目标列表。
渗透测试的第一步是信息收集，要基于企业域名扩展更多的网站，那么如何信息收集就是这个目标的关键，这个目标更贴近实战，去选择一个 SRC 作为目标，然后收集其所有子域名、IP 信息，将该企业的所有边界网站整理出来，然后套用第二个目标的检查项进行一一测试，我相信，你一定可以找到漏洞。
总结
经过这个三个目标的洗礼，你一定可以入门 web 安全，而且会是一个技术能力很强的人，能完整实现三个目标的人，我认为是比较少的，在如今大环境如此不好的前提下，积累自身能力是最重要的事情，让你即使在如此不好的环境下也能找到非常好的工作，如果你想跟更多小伙伴一起学习，欢迎扫描下方二维码加入我们，一起学习提升。
学习资源
如果你是也准备转行学习网络安全（黑客）或者正在学习，这里开源一份360智榜样学习中心独家出品《网络攻防知识库》,希望能够帮助到你
知识库由360智榜样学习中心独家打造出品，旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力，熟练掌握基础攻防到深度对抗。
1、知识库价值
深度： 本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。
广度： 面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。
实战性： 知识库内容源于真实攻防对抗和大型演练实践，通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。
2、 部分核心内容展示
360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式，既夯实基础技能，更深入高阶对抗技术。
360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式，既夯实基础技能，更深入高阶对抗技术。
内容组织紧密结合攻防场景，辅以大量真实环境复现案例、自动化工具脚本及配置解析。通过策略讲解、原理剖析、实战演示相结合，是你学习过程中好帮手。
1、网络安全意识
2、Linux操作系统
3、WEB架构基础与HTTP协议
4、Web渗透测试
5、渗透测试案例分享
6、渗透测试实战技巧
7、攻防对战实战
8、CTF之MISC实战讲解
3、适合学习的人群
一、基础适配人群
- 零基础转型者：适合计算机零基础但愿意系统学习的人群，资料覆盖从网络协议、操作系统到渗透测试的完整知识链；
- 开发/运维人员：具备编程或运维基础者可通过资料快速掌握安全防护与漏洞修复技能，实现职业方向拓展或者转行就业；
- 应届毕业生：计算机相关专业学生可通过资料构建完整的网络安全知识体系，缩短企业用人适应期；
二、能力提升适配
1、技术爱好者：适合对攻防技术有强烈兴趣，希望掌握漏洞挖掘、渗透测试等实战技能的学习者；
2、安全从业者：帮助初级安全工程师系统化提升Web安全、逆向工程等专项能力；
3、合规需求者：包含等保规范、安全策略制定等内容，适合需要应对合规审计的企业人员；
因篇幅有限，仅展示部分资料，完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以在下方CSDN官方认证二维码免费领取【保证100%免费】
