系统总结了 Web 安全的核心技术体系，涵盖代码审计、信息收集、工具使用及常见漏洞原理。内容包括 PHP 安全基础、Burp Suite 代理与重放功能、SQL 注入、XSS、CSRF、SSRF、文件上传及逻辑漏洞的成因与防御措施。文章强调基础的重要性，并提供从侦察到报告的完整渗透测试思路，旨在帮助初学者建立系统的 Web 安全知识框架，理解攻防本质。
Web 安全范围广泛，知识点繁杂。对于初学者而言，基础知识的掌握往往是决定能否深入发展的关键。本文旨在梳理 Web 安全的核心技术体系，涵盖代码审计、漏洞原理、信息收集及渗透测试思路，帮助读者建立系统的知识框架。
PHP 作为常见的 Web 开发语言，其安全性至关重要。在代码审计中，需重点关注以下方面：
通过阅读源代码，识别潜在的安全隐患是代码审计的核心。审计流程通常包括：
eval(), system(), include() 等高风险函数的调用。信息收集是渗透测试的第一步，目的是尽可能多地获取目标系统的信息。
利用 DNS 记录查询、搜索引擎语法（如 Google Hacking）等手段发现子域名，扩大攻击面。
使用 Nmap 等工具扫描开放端口，识别运行的服务及其版本，寻找已知漏洞。
尝试爆破常见目录结构，查找敏感配置文件、备份文件或后台入口。
Burp Suite 是 Web 安全测试中最常用的集成平台，主要功能包括：
拦截并修改浏览器与服务器之间的 HTTP/HTTPS 请求，用于测试参数篡改的影响。
手动重复发送请求，调整参数以观察响应变化，适合单点漏洞验证。
自动化发送大量请求，用于暴力破解密码、参数 fuzzing 或检测逻辑漏洞。
利用 BApp Store 扩展功能，如自动扫描、特定协议解析等，提升测试效率。
当应用程序未对用户输入进行充分过滤，直接将输入拼接到 SQL 语句中时，攻击者可构造恶意 SQL 命令执行数据库操作。
攻击者将恶意脚本注入到网页中，当其他用户浏览该页面时，脚本会在其浏览器中执行。
诱导用户在已登录状态下访问恶意链接，从而在不知情的情况下执行非本意的操作。
攻击者诱导服务器向内部网络发起请求，可能导致内网扫描或读取元数据。
允许用户上传文件的功能若未严格限制文件类型、后缀或内容，可能导致 Webshell 上传。
涉及业务逻辑的缺陷，如越权访问、密码重置漏洞、支付金额篡改等。
Web 安全是一个持续演进的过程。除了掌握上述技术细节外，还需要保持对新技术的关注，培养良好的安全编码习惯。对于开发者而言，遵循'默认安全'原则，在开发初期就融入安全设计（Security by Design），是降低安全风险的根本途径。对于安全从业者，不断实践靶场演练，积累实战经验，是提升能力的必经之路。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
使用加密算法（如AES、TripleDES、Rabbit或RC4）加密和解密文本明文。 在线工具，加密/解密文本在线工具，online
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online
将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。 在线工具，Markdown转HTML在线工具，online
将 HTML 片段转为 GitHub Flavored Markdown，支持标题、列表、链接、代码块与表格等；浏览器内处理，可链接预填。 在线工具，HTML转Markdown在线工具，online
通过删除不必要的空白来缩小和压缩JSON。 在线工具，JSON 压缩在线工具，online