通過這幾年從事Web滲透行業的經驗，對沒有編程基礎或者轉行的零基礎小白應該如何學習Web滲透，制定以下學習路線：
一. Web滲透基礎
1. 學習Web滲透第一步需要了解我國網絡安全法，在網絡安全法中明確規定，非法入侵他人網站、計算機都是違反了刑法，需要承擔相應的責任。
2. 第二步，再來學習什麼是滲透，滲透的流程，網站是如何運行起來的，涉及到了哪些層次，以及一些相關的術語。這是你學習Web滲透的開始，瞭解了web滲透相關概念過後，表示你正式邁入Web滲透。
二. 信息收集
1. 從滲透的流程第一步開始，學習信息的概念、該收集哪些信息。
2. 掌握信息收集的常用方式，如：域名相關信息收集，服務器相關信息收集，CMS系統、框架類信息收集，網站後臺、敏感目錄與文件收集。在這些信息的收集過程中，需要運用到眾多技巧甚至配合社工手段。都需要熟練掌握這些技巧。
三. SQL注入
1. 從滲透的流程第二步開始，學習漏洞的原理、利用、修復與挖掘。瞭解OWASP-TOP10漏洞，從SQL注入開始學習漏洞挖掘。
2. 熟練掌握使用Burpsuite工具的使用，熟悉http協議的請求與響應。
3. 熟悉SQL注入中常用的SQL語句、函數。
4. 瞭解SQL注入原理，熟悉各種類型的注入的原理，注入方式，payload。
5. 靶場環境實戰各種類型的手工注入方式。
四. 暴力破解與枚舉
1. 瞭解弱口令的概念，瞭解暴力破解漏洞與枚舉漏洞。
2. 瞭解常見服務與端口，學會爆破常見服務的弱口令。
3. 學會使用Burp抓取http登陸驗證表單請求，並分析是否會存在暴力破解的漏洞或者用戶枚舉漏洞。
4. 收集整理自己的常用爆破字典
5. 靶場環境練習爆破與枚舉
五. 上傳漏洞
1. 瞭解上傳漏洞的概念，出現場景，危害。
2. 瞭解一句話木馬、小馬、大馬，學習免殺一句話的編寫。
3. 學習webshell管理工具的使用方法，代理設置，編碼器，插件運用。
4. 針對不同場景的上傳點，學會如何突破上傳。
5. 熟悉常見的解析漏洞。
6. 靶場環境練習上傳漏洞操作。
六. 包含漏洞
1. 瞭解包含漏洞的概念，原理，利用方式
2. 學習包含日誌文件getshell姿勢，條件
3. 學習包含圖片木馬、及一些其他可上傳後綴包含getshell姿勢
4. 學習包含session文件getshell姿勢，條件
5. 靶場環境練習
七. XSS
1. 瞭解XSS漏洞的概念，原理，利用方式。
2. 學習javascript基礎知識
3. 學習xss payload構造
4. 學習xss平臺的使用以及xss獲取cookie無密碼登陸方式
5. 靶場環境練習
八. CSRF
1. 瞭解CSRF漏洞概念，原理，利用方式
2. 學會使用burp插件生成 csrf poc
3. 學會csrf+xss組合方式的利用
4. 靶場環境練習
九. 邏輯漏洞
1. 瞭解邏輯漏洞的概念
2. 學習邏輯漏洞之越權
3. 學習邏輯漏洞之登陸、註冊處漏洞
4. 學習邏輯漏洞之商城購買處漏洞
5. 學習邏輯漏洞之密碼重置處漏洞
6. 學習邏輯漏洞之驗證碼處漏洞
7. 靶場環境練習
十. XXE
1. 瞭解XXE漏洞的概念、原理、利用方式
2. 瞭解XML基本語法
3. 瞭解XXE payload的構造
4. 靶場環境練習
十一. Bypasswaf
1. 瞭解軟硬waf的分類，工作原理，防護機制
2. 學習Bypasswaf目錄掃描技巧
3. 學習Bypasswaf文件上傳技巧
4. 學習Bypasswaf sql注入技巧
5. 學習Bypasswaf 包含漏洞技巧
6. 學習Bypasswaf xss技巧
十二. 內網滲透
1. 學習內網信息收集手段
2. 學習windows、linux基礎命令
3. 學習提權手法
4. 熟練掌握MSF的使用
5. 熟練掌握CS的利用
6. 學習內網維權、域滲透手法
十三. 學習方法
1． 把老師課上講的技巧、手段都學會過後，再去本地靶場、靶機實戰，養成記筆記的習慣
2． 對於每一個漏洞，一定要弄懂它的原理、利用方式、Bypass手法與修復手段。
3． 在後期，學會了這些滲透手法過後，再去選擇一門編程語言來深入學習，推薦PHP或者Python。
4． 多看一些滲透安全文章，推薦的有freebuf、吐司、90sec等網站
5． 在SRC平臺上挖掘漏洞增加實戰經驗
這個學習路線是給對初入web滲透的小白的，在學習過程中有什麼問題需要諮詢都可以私信我，看到都會給予解答的。
閱讀更多 信息安全教學 的文章
