（總結我的學習之路-新手科普篇）

孔子曾說過：學而不思則罔，思而不學則殆！

我現在深刻了這句話，一直以來我的學習方式都是只去看懂他人給出的技術，從沒想過自己研究，也沒有舉一反三之說。

掌握的知識在充足也不如去實踐去鑽研，一直以來我都認為自己一直在實踐，直到今天，我看了一篇文章，因為現在在學彙編打算向二進位進發，在翻閱文章的時候發現他人在比我基礎更差的情況下都做到了分析，而我也能容易看懂他的文章，可我卻寫不出來文章，也不會分析，一直在提升高方面的編程水平，隨著各種編程水平的不斷提高，對於我滲透確實沒什麼用，這就是個不得不的思考的問題

詳細想想自己真正學習滲透的時間大約比較集中於在剛開始接觸的時候，哪個時候剛剛接觸神秘的網路世界，有對未知的新鮮感，那一年我瘋狂的看一個假期的教程邊看邊練習邊研究著幾乎沒有出門完完全全的做到了宅，在沒有編程基礎下做到了非常不錯的水平，之後因為學習編程語言滲透停下來，因為我想看懂那些代碼，想要看懂那些技術博客上的文章，隨著時間編程水平越來越高，經過了漫長的時間（2年）我終於達到我想要的水平

當然你可能覺得2年不算長，我接觸網路也是在15年，我用了2年的時間做了在我接觸範圍內的圈子裡面可以聽懂他們說什麼，可以一起交流，在這長久的時間裡一直在埋頭自學，沒有幾個朋友，到現在找個能一起交流的人都沒有， 平常只能群聊扯扯皮。

好像扯遠了，還是說一下我認為在web安全攻防中應該掌握什麼樣的知識吧！

這裡給出一個列表

先說說編程方面

1.html/css（1-2周）

2.javascript（1-2周）

3.xml（幾天）

4.jquery（幾天）

5.ajax（幾天）

6.php（3-4個月）

8.java（1年）

9.mysql（1-2周）

10.oracle（1-2周）

11.python（3-4個月）

12.linux基本操作（1-2月）

13.網路協議（需要長久時間的累計）

以上這些都是你滲透目標中可能存在的，怎麼能不掌握有了解？做為一個人避免不到的惰性，到最近才掌握以上,而我今天在群里和一些大牛交流的時候，聽說國外學習都是從系統底層原理開始，而國內相信大多數都是（Hello World!）差距的產生，如果不是在學習彙編的過程中我可能也不會接觸這些底層的知識，在來說說滲透方面

1.思維能力

2.熟練掌握常見漏洞的利用（注入，xss等）

3.熟練使用知名神器（burp，awvs，火狐瀏覽器，kali上一些工具等）

4.根據經驗開發最適合自己有用的工具

5.熟悉代碼審計

以上我是按照在我眼中重要程度的劃分，作為位於第一的思維能力，這是非常重要的一點，因為個人經驗不足不能很好的解答，所以不做解答，一般遇到問題我都能很好的自己去查閱資料，自己研究，最後實在不行再去問別人，有獨立思考的能力，我很反感能查到的常識偏偏要去別人。

那麼第二點熟練掌握常見漏洞利用，這個問題看著簡單說起來其實是非常複雜的，因為他們每個下面都有不同的分支，比如注入，最常見的就是和資料庫沾邊的了叫做sql注入（結構化查詢語言(Structured Query Language)）的縮寫，每個資料庫有自己的特性，注入起來也都不同，雖然sql是有所謂的標準的，根據資料庫類型可以分為:mysql注入，mssql注入，oracle注入，根據請求方式不同又可以分為:get注入，post注入，cookie注入等，同時有根據開發語言的不同所產生的特性有分為很多例如,java比較知名的框架hibernate的sql框架所產生的注入叫hql注入，還有延時注入，盲注等，xss按照大類也能分出反射，儲存dom等

以上說的注入雖然都叫注入但利用起來都各有各自的一套，因為網站的環境，使用的sql語句等問題，注入起來又是不一樣，所以掌握第二點這一塊是比較難的。

第三點工具的使用比較簡單了，操作多了自然可以靈活使用沒什麼要說的

第四點根據自己的需求開發工具，如果是簡單的小程序還好，大一點的情況下不得不考慮到程序運行占的內存，效率等，這又會涉及到數據結構，設計模式等問題

第五點其實我感覺也是比較沒用的，對滲透幫助可大可小，除了前期能讓你了解漏洞產生的原理，對於你去滲透一個站基本沒什麼用處，除非掃到了這個站的備份文件等，然而除了一些個人開發外，都是使用的很成熟的開源cms建站系統，你想去審計幾乎不可能，當然你技術很厲害除外。

以上說了這麼說有點跑題了，算是一個科普文吧，當然有些人可能認為不需要去掌握那麼多，列出了這麼的東西但也是做滲透測試必須需要的，在學習的過程中真的很艱難，送給正在學習編程的朋友一句話：千萬不要放下一天，因為第二天你可能就會拿不起來。同樣給我的話，多研究，多深入，對問題多方面的提問。

對於需要提供幫助的新手的同學可以私聊我加qq，因為今天遇到一個小夥伴，他說學習兩年，還是只會sql和簡單的工具使用，對於編程也不是很了解，因為他沒有一個目標的進行（多接觸高端的交流圈好處無窮）不要淺顯的認為任何一個是大牛，我小白的時候以為那些會簡單滲透的很厲害，現在我會覺得他們很小白，同樣我在其他大牛眼裡還是小白，能力的提升只會讓你意識到自己還有多少不足之處,有些人可能沒有天賦，但依然到了一個很高的水平，這是平時努力和時間的結果，給你同樣的時間一樣學也能達到，時間能彌補一切 (感覺我自己好像推銷的。。。不說了有需要幫助的新手可以加我私聊或者有大牛看到加我一起交流，希望也能帶帶我，自學的痛苦就是老走偏)