从零开始学习 Web 安全与黑客技术入门指南

1. SQL 注入（SQL Injection）

所谓 SQL 注入，就是通过把 SQL 命令插入到 Web 表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的 SQL 命令。

攻击原理： 当应用程序没有对用户输入进行过滤或参数化时，攻击者可以构造特殊的输入，改变原有 SQL 语句的逻辑。

示例： 假设有一个登录查询：SELECT * FROM users WHERE username = 'input_user' AND password = 'input_pass' 如果用户在用户名处输入 admin' --，查询变为：SELECT * FROM users WHERE username = 'admin' --' AND password = '...' 由于 -- 是 SQL 注释符，后面的密码验证被忽略，从而绕过登录。

防御措施：

• 使用预编译语句（Prepared Statements）或参数化查询。
• 对用户输入进行严格的白名单验证。
• 最小权限原则，数据库账户不应拥有过高权限。

2. 跨站脚本攻击（XSS）

XSS 则是攻击者往 Web 页面里插入恶意 Script 代码，当用户浏览该页之时，嵌入 Web 里面的 Script 代码会被执行，从而达到恶意攻击用户的目的。

类型：

• 反射型 XSS：恶意脚本通过 URL 参数传递，仅在特定点击下触发。
• 存储型 XSS：恶意脚本存储在数据库中，所有访问该页面的用户都会受影响。
• DOM 型 XSS：发生在前端 DOM 操作中，不涉及服务器回显。

示例： 如果在评论框中输入 <script>alert('hacked')</script>，且系统未转义直接显示，其他用户打开页面时会弹出警告框，甚至 Cookie 被窃取。

防御措施：

• 输出编码（Output Encoding）：将特殊字符转换为 HTML 实体。
• 设置 Content Security Policy (CSP) 头。
• 使用 HttpOnly 标志防止 JS 读取 Cookie。

3. 远程命令执行（RCE）

而远程命令执行，是用户通过浏览器提交执行命令，由于服务器端没有针对执行函数做过滤，导致执行命令。

示例： 如果 PHP 代码使用了 system($_GET['cmd'])，攻击者可以通过 ?cmd=ls -la 查看服务器文件列表，甚至写入后门。

防御措施：

• 避免直接使用 eval、exec、system 等危险函数。
• 如果必须使用，严格限制输入参数为白名单内的固定值。
• 运行环境隔离，降低 RCE 后的危害范围。

4. 越权漏洞（IDOR / Privilege Escalation）

越权漏洞是比较常见的漏洞类型，越权漏洞可以理解为，一个正常的用户 A 通常只能够对自己的一些信息进行增删改查，但是由于程序员的一时疏忽，对信息进行增删改查的时候没有进行一个判断，判断所需要操作的信息是否属于对应的用户，可以导致用户 A 可以操作其他人的信息。

示例： 正常请求：GET /api/user/profile?id=1001 越权尝试：修改 ID 为 1002，若服务器未校验当前登录用户是否有权访问 1002 的数据，则获取他人隐私。

防御措施：

• 在后端强制校验资源所有权。
• 使用统一的权限控制框架（如 RBAC）。
• 不要依赖前端隐藏敏感 ID。

了解了这几个漏洞之后我们可以看到原理都有些类似，也很简单。当然我们只要不再局限于概念名词就会发现 Web 安全的大部分漏洞都很简单。更多时候，发现一个复杂的漏洞需要的是耐心。概念，不是一个神圣的东西，概念很多时候只是 bullshit。很多概念的产生是因为需要认识和概括某种存在着的现象而不得已产生的，概念也许是必须的但并不是必然如此的。

换句话说，概念仅可以被看做是一种努力尝试描述后的结果之一。或者也可以说概念是提出这个概念的人自嗨的产物，跟其他人关系不大。甚至，有些概念是'别有用心'的发明来合理化某种其实不必合理化但是存在的现象。

所以不要把自己拘泥于一个这样的概念中来思考所面临问题的实质。把概念忘了，你才可能看清楚你和事物本身的关系。

零基础学习路径建议

完全没有基础该从哪下手？完全没有基础学习 Web 安全是件比较难的事情，因为需要兼顾编程、网络、操作系统等多方面知识。建议如下：

1. 工具准备

• Burp Suite：用于拦截、修改和重放 HTTP 请求，是 Web 渗透的核心工具。
• Nmap：用于端口扫描和服务探测。
• Wireshark：用于抓包分析网络流量。
• VS Code / Sublime Text：代码编辑与审计。

2. 实践平台

• DVWA (Damn Vulnerable Web App)：本地搭建的漏洞靶场，适合初学者练习 SQLi、XSS 等。
• PortSwigger Web Security Academy：官方提供的免费在线实验室，涵盖 OWASP Top 10 所有漏洞。
• HackTheBox / VulnHub：进阶实战靶机。

3. 核心技能点

• XSS、SQL 注入、远程代码执行：重点掌握原理、利用手法及修复方案。
• 逻辑漏洞：如支付篡改、密码重置绕过、多步骤流程绕过。
• 内网渗透：了解域控、横向移动、提权等基础概念。

4. 推荐书籍

• 《细说 PHP》：深入理解 PHP 特性与潜在风险。
• 《黑客攻防—web 安全实战详解》：实战案例丰富。
• 《安全之路：Web 渗透技术及实战案例解析（第 2 版）》：体系化讲解。
• 《白帽子讲 Web 安全》：经典入门读物。

5. 动手实践

1. 使用 PHP 写一个列目录的脚本，可以通过参数列出任意目录的列表（体验文件包含风险）。
2. 使用 PHP 抓取一个网页的内容并输出（理解 HTTP 请求）。
3. 使用 PHP 抓取一个网页的内容并写入到 MySQL 数据库再输出（理解数据存储与注入风险）。
4. 手工找 DVWA 的漏洞，对比自动化工具的结果。

6. 持续学习

这是一条坚持的道路，三分钟的热情劝君尽早放弃；多练多想，不要离开了教程什么都不会了，最好看完教程自己独立完成技术方面的开发。

• 关注社区：关注安全资讯网站（如 FreeBuf、先知社区），了解最新漏洞情报。
• 参与 CTF：参加 Capture The Flag 比赛，锻炼解题思路。
• 考取证书：如 OSCP、CISSP、CISP-PTE 等，提升专业认可度。

结语

网络安全是一场没有终点的马拉松。技术更新迭代极快，新的漏洞类型层出不穷。保持好奇心，培养严谨的逻辑思维，坚守法律底线，才能在安全领域走得更远。希望这份指南能为你开启 Web 安全的大门，祝你在探索技术的道路上不断精进。