档是一份系统化的 Web 安全学习笔记，涵盖了从网络协议基础到高级内网渗透的全方位知识。内容详细阐述了 TCP/IP 协议栈、HTTP/HTTPS 安全机制、信息收集方法（域名、端口、搜索引擎）、常见漏洞原理与攻防（SQL 注入、XSS）、多种编程语言（PHP、Python、Java 等）的安全特性、Windows/Linux 内网渗透技术及持久化手段，以及防御体系建设（DevSecOps、威胁情报、应急响应）。文章旨在帮助初学者建立清晰的知识脉络，理解安全攻防背后的技术逻辑，并提供实用的防御策略与实战指导。
随着 Web 技术的日益成熟，非 Web 服务在互联网上的暴露面逐渐减少，当前互联网安全的核心主要集中在 Web 安全领域。为了在大数据时代保障自身系统的安全，避免"裸奔"状态，深入理解 Web 安全机制显得尤为重要。
在学习 Web 安全的过程中，许多知识点往往相对零散。如果没有清晰的脉络作为参考，学习者容易陷入碎片化知识的泥潭，增加学习负担。本笔记旨在整理关键知识、技术思路与实践方法，形成一份结构化的学习文档。本文档涵盖网络协议、漏洞攻防、内网渗透及防御技术等核心内容，为入门者提供系统的参考框架。
Web 技术从早期的静态 HTML 页面发展到如今复杂的单页应用（SPA）和微服务架构。这一过程中，前端交互逻辑增强，后端数据处理复杂度提升，攻击面也随之扩大。理解 Web 演化的历史有助于理解现代漏洞产生的根源。
早期黑客主要利用简单的缓冲区溢出或脚本注入。随着 WAF（Web 应用防火墙）的普及，攻击手段转向更隐蔽的混淆、绕过技巧以及业务逻辑漏洞。防御方则从单纯的网络层防护转向应用层深度检测与行为分析。
建立正确的安全观是安全从业者的基石。安全不是绝对的状态，而是风险管理的持续过程。应遵循最小权限原则、纵深防御原则，并认识到没有完美的系统，只有不断迭代的防御体系。
理解 OSI 七层模型与 TCP/IP 四层模型是网络安全的基础。物理层、数据链路层负责传输介质与帧；网络层处理 IP 寻址与路由；传输层确保端到端连接；应用层直接面向用户服务。
用户数据报协议（UDP）是无连接的，速度快但不可靠。在 DNS 查询、视频流媒体中广泛使用。安全方面，UDP 常用于 DDoS 攻击中的放大反射攻击，需关注端口开放情况。
传输控制协议（TCP）提供可靠连接，通过三次握手建立，四次挥手断开。SYN Flood 攻击利用握手过程中的资源消耗进行拒绝服务。理解 TCP 标志位（SYN, ACK, FIN, RST）对流量分析至关重要。
动态主机配置协议用于自动分配 IP 地址。DHCP Spoofing 攻击可伪造服务器分配恶意网关，导致中间人攻击。内网环境中需开启 DHCP Snooping 等防护机制。
路由协议如 OSPF、BGP 决定了数据包路径。路由劫持可导致流量被重定向至恶意节点。了解 BGP 劫持原理对于理解大型网络攻击具有重要意义。
DNS 将域名解析为 IP。DNS 缓存投毒、DNS 隧道等技术常被用于 C2 通信或数据窃取。安全运维需监控异常 DNS 请求。
超文本传输协议是 Web 通信的基础。请求方法（GET, POST, PUT, DELETE）、状态码（200, 403, 500）及 Header 信息包含大量敏感数据。理解 HTTP 报文结构是进行抓包分析的前提。
HTTP over SSL/TLS 提供了加密传输。证书验证、密钥交换过程是安全的关键点。中间人攻击可能通过自签名证书欺骗用户。需确保证书链完整且受信任。
安全套接字层/传输层安全协议。版本演进从 SSLv3 到 TLS 1.2/1.3。已知漏洞如 POODLE、BEAST 促使版本升级。禁用弱加密套件是基本加固要求。
IP 安全协议在网络层提供加密认证。常用于 VPN 构建。配置不当可能导致密钥泄露或隧道被攻破。
WHOIS 查询可获取注册人信息。子域名枚举是发现隐藏资产的第一步。常用工具包括 Sublist3r、Amass 等。
端口扫描揭示开放服务。Nmap 是行业标准工具。区分全连接扫描与 SYN 扫描以规避日志记录。
识别 CMS 类型、框架版本、服务器软件。指纹识别技术可辅助确定目标环境特征。
Google Hacking 利用高级搜索语法挖掘敏感文件。Dork 语句可定位备份文件、调试接口等。
利用人性弱点获取信息。钓鱼邮件、电话诈骗是常见手段。安全意识培训是防御关键。
建议查阅 CVE 数据库、NVD 官方源获取权威漏洞信息。
SQL 注入是最经典的 Web 漏洞之一。当用户输入未经过滤直接拼接到 SQL 语句时发生。
sys 表、写入 WebShell。information_schema 库探测字段名。XSS 允许攻击者在受害者浏览器执行恶意脚本。
PHP 是 Web 开发常用语言，存在特定安全风险。
unserialize() 函数若处理不可信数据，可导致远程代码执行。exec, system。file://, php://filter 可用于读取本地文件或编码转换。Python 在安全工具开发中广泛应用。
%s 或 .format() 未正确转义可能导致注入。pickle 模块不安全，易被利用。os.system, subprocess, eval 需谨慎使用。Java 企业级应用主流，反序列化漏洞频发。
ObjectInputStream 读取恶意对象。前端核心语言，涉及 DOM XSS 及 Node.js 服务端风险。
Go 语言编译型特性使其在工具编写中流行。
Ruby on Rails 框架曾出现多起高危漏洞。
经典遗留系统，VBScript 脚本易受注入影响。
ps, systemctl。ip addr, /etc/hosts。/etc/passwd, /etc/shadow。安全团队需包含红队（攻击模拟）、蓝队（防守监测）、紫队（协同）。明确职责分工与应急响应流程。
DevSecOps 将安全融入开发生命周期。代码审计、SAST/DAST 扫描应在 CI/CD 流水线中自动化执行。
订阅外部情报源，了解最新攻击趋势、IOC（入侵指标）。内部日志关联分析可提前预警。
MITRE ATT&CK 描述攻击者战术与技术。映射攻击行为有助于评估防御覆盖度。
风险评估量化潜在损失。制定应急预案，定期演练。购买网络安全保险转移部分风险。
操作系统基线检查、中间件加固、密码策略强制执行。定期漏洞扫描与修复。
构建纵深防御体系。边界防火墙、WAF、主机防病毒、终端检测响应（EDR）多层联动。
部署虚假资产诱捕攻击者。分析攻击手法，收集样本，延迟攻击者行动。
IDS 监控网络流量异常。规则匹配与行为分析结合。误报率优化是关键。
发现事件后快速隔离、取证、根除、恢复。保留证据链以备法律追责。复盘总结改进防御。
追踪攻击者来源。分析 IP、域名、代码风格、习惯用语。配合执法部门行动。
网络安全是一场持续的博弈。技术更新迅速，攻击手段不断翻新。保持学习热情，夯实基础理论，积累实战经验，才能在安全道路上行稳致远。希望本笔记能为你的学习之路提供清晰指引。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
使用加密算法（如AES、TripleDES、Rabbit或RC4）加密和解密文本明文。 在线工具，加密/解密文本在线工具，online
查找任何按下的键的javascript键代码、代码、位置和修饰符。 在线工具，Keycode 信息在线工具，online
JavaScript 字符串转义/反转义；Java 风格 \uXXXX（Native2Ascii）编码与解码。 在线工具，Escape 与 Native 编解码在线工具，online
使用 Prettier 在浏览器内格式化 JavaScript 或 HTML 片段。 在线工具，JavaScript / HTML 格式化在线工具，online
Terser 压缩、变量名混淆，或 javascript-obfuscator 高强度混淆（体积会增大）。 在线工具，JavaScript 压缩与混淆在线工具，online
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online