网络安全-自学笔记

Love The Way You Lie 2023-02-18 08:17 2阅读 0赞

**目录**

推荐

书籍

练习靶场

信息收集

漏洞扫描

渗透攻击

现代密码学

CTF

项目推荐

比赛推荐

模糊测试

AFL

文件模糊测试

插桩

java插桩

--------------------

# 相关网站推荐 #

博主研究方向为安全领域，以后可能更多的在圈子内发表文章，提高文章质量。

1、[FreeBuf][]

国内关注度最高的全球互联网安全媒体平台，爱好者们交流与分享安全技术的社区，网络安全行业门户。

个人账户：ladykiller9

2、[看雪][Link 1]

看雪论坛是个软件安全技术交流场所，为安全技术爱好者提供一个技术交流平台和资源。

个人主页：[lady\_killer9 ][lady_killer9]

3、[吾爱破解][Link 2]

吾爱破解论坛是致力于软件安全与病毒分析的非营利性技术论坛。

4、[阿里云先知社区][Link 3]

一个开放型技术平台。

个人主页:[ladykiller9][]

5、[腾讯玄武安全实验室][Link 4]

各种CVE，漏洞。

6、[SecWiki][]

安全维基，各种安全资讯。

# WEB（应用）安全 #

## 学习路线 ##

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70][] WEB安全学习路线

想法：分别学习各个模块，搭建靶机进行练习，做CTF中的WEB安全题，然后再看懂后台代码，为什么会有漏洞，接下来复现一些CVE制作成镜像给看雪等CTF比赛官方，最后学习metasploit等软件，以宏观的角度，从情报搜集开始到漏洞利用做整个渗透报告，最后将靶机的漏洞危险程度由low->impossible（感觉并没有那么多时间...慢慢来吧）。和我一起来学习WEB安全吧！！！

## 推荐 ##

### 书籍 ###

入门

*  《白帽子讲Web安全》 2012
 *  《Web安全深度剖析》2015
 *  《Web安全攻防 渗透测试实战指南》2018

进阶

*  《WEB之困-现代WEB应用安全指南》 2013
 *  《内网安全攻防渗透测试安全指南》 2020
 *  《Metasploit渗透测试魔鬼训练营》2013
 *  《SQL注入攻击与防御》2010
 *  《黑客攻防技术宝典-Web实战篇（第2版）》

### 网站 ###

[Web安全学习笔记][Web]

[安全词汇 RFC-4949][RFC-4949]

接下来开始学习，理论并非纯理论，也有靶机攻击举例，实战一般使用离线或线上靶机。

### 在线靶场 ###

[国钧CTF][CTF]

[BUUCTF][]

[bugku][]

[网络信息安全攻防平台][Link 5]

## 基础 ##

web安全必备：

[网络安全-php安全知识点][-php]

[网络安全-WEB中的常见编码][-WEB]

[跨域请求-jsonp和cors][-jsonp_cors]

学xss注入时再看也可：

[网络安全-js安全知识点与XSS常用payloads][-js_XSS_payloads]

学sql注入时再看也可：

[网络安全-Mysql注入知识点][-Mysql]

漏洞排行：

[OWASP TOP 10][]

## XSS攻击 ##

\----------------------------------理论----------------------------------

[网络安全-跨站脚本攻击(XSS)自学笔记][-_XSS]

[网络安全-XSStrike中文手册（自学笔记）][-XSStrike]

\---------------------------------实战-----------------------------------

靶机：dvwa

[网络安全-靶机dvwa之XSS注入Low到High详解（含代码分析）][-_dvwa_XSS_Low_High]

靶机：pikachu

[网络安全-靶机pikachu之xss注入与代码分析（XSStrike实战）][-_pikachu_xss_XSStrike]

靶机:[xssplatform][]

## CSRF漏洞 ##

\----------------------------------理论与实战----------------------------------

[网络安全-跨站请求伪造（CSRF）的原理、攻击及防御][-_CSRF]

## 劫持攻击 ##

### 点击劫持 ###

\----------------------------------理论----------------------------------

[网络安全-点击劫持（ClickJacking）的原理、攻击及防御][-_ClickJacking]

## SSRF漏洞 ##

\-----------------------------理论及实战--------------------------------

[网络安全-SSRF漏洞原理、攻击与防御][-SSRF]

## 文件包含漏洞 ##

\-----------------------------理论及实战--------------------------------

[网络安全-文件包含漏洞原理、攻击及防御][-]

## 文件上传漏洞 ##

\-----------------------------理论及实战--------------------------------

[网络安全-文件上传漏洞的原理、攻击与防御][- 1]

## XXE漏洞 ##

\-----------------------------理论及实战--------------------------------

[网络安全-XXE（XML外部实体注入）原理、攻击及防御][-XXE_XML]

## WebShell ##

[网络安全-webshell详解（原理、攻击、检测与防御）][-webshell]

## 解析安全 ##

## RCE漏洞 ##

\----------------------------------理论----------------------------------

[网络安全-RCE（远程命令执行）漏洞原理、攻击与防御][-RCE]

## SQL注入漏洞 ##

\----------------------------------理论----------------------------------

[网络安全-SQL注入原理及防御SQL注入][-SQL_SQL]

[网络安全-sqlmap学习笔记][-sqlmap]

[网络安全-sqlmap注意项及高级使用][-sqlmap 1]

\---------------------------------实战-----------------------------------

靶机:dvwa

[网络安全-靶机dvwa之sql注入Low到High详解（含代码分析）][-_dvwa_sql_Low_High]

靶机：[sqlilabs][]

[sqlmap实战之sqlilabs-Less1][sqlmap_sqlilabs-Less1]

Less2差不多，整型参数错误，sql语句为 SELECT \* FROM users WHERE id=$id LIMIT 0,1

[网络安全-sqlmap实战之sqlilabs-Less3][-sqlmap_sqlilabs-Less3]

[网络安全-sqlmap实战之sqlilabs-Less4][-sqlmap_sqlilabs-Less4]

[网络安全-sqlmap实战之sqlilabs-Less5][-sqlmap_sqlilabs-Less5]

[网络安全-sqlmap实战之sqlilabs-Less6][-sqlmap_sqlilabs-Less6]

[网络安全-sqlmap实战之sqlilabs-Less8][-sqlmap_sqlilabs-Less8]

[网络安全-sqlmap实战之sqlilabs-Less9][-sqlmap_sqlilabs-Less9]

[网络安全-sqlmap实战之sqlilabs-Less11][-sqlmap_sqlilabs-Less11]

[网络安全-sqlmap实战之sqlilabs-Less12][-sqlmap_sqlilabs-Less12]

[网络安全-sqlmap实战之sqlilabs-Less13][-sqlmap_sqlilabs-Less13]

## 反序列化漏洞 ##

\----------------------------------理论与实战--------------------------------------

[网络安全-反序列化漏洞简介、攻击与防御][- 2]

## 条件竞争 ##

[网络安全-条件竞争（《CTF特训营》第7章复现）][-_CTF_7]

[CTF-【NSCTF 2015】WEB11 条件竞争][CTF-_NSCTF 2015_WEB11]

## 通信安全 ##

\----------------------------------理论与实战--------------------------------------

### 应用层 ###

[网络-http协议学习笔记（消息结构、请求方法、状态码等）][-http]

[网络-https协议学习笔记（SSL、TLS、CA、抓包与修改）][-https_SSL_TLS_CA]

[网络-Telnet协议与SSH协议（命令、免密登录）及其安全性][-Telnet_SSH]

[网络-DNS域名系统详解与DNS攻击][-DNS_DNS]

### 传输层 ###

[网络-UDP协议详解（代码、实战）][-UDP]

[网络-TCP协议详解自学笔记（例题、代码、实战）][-TCP]

### 网络层 ###

[网络-IP协议详解（报文格式、分类、NAT、子网、CIDR、抓包分析）][-IP_NAT_CIDR]

[网络-ICMP协议、Ping命令实现与ICMP攻击][-ICMP_Ping_ICMP]

[网络-ARP协议详解与ARP欺骗（中毒）攻击实战][-ARP_ARP]

\-----------------------------------实战-------------------------------------

[网络安全-scapy学习笔记][-scapy]

[网络安全-python脚本资源整理][-python]

## 身份认证与访问控制 ##

### 弱口令爆破 ###

\----------------------------------理论----------------------------------

[github 字典整理][github]

# 渗透测试 #

## 学习路线 ##

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 1][] 学习路线

时间关系，仅关注渗透测试基础与WEB渗透相关的内容。

## 基础知识 ##

kali

[渗透测试-Kali Linux学习（Linux基础、Shell编程、渗透测试软件）][-Kali Linux_Linux_Shell]

## 推荐 ##

### 书籍 ###

《Metasploit渗透测试魔鬼训练营》

《Metasploit渗透测试指南》

《KALI渗透测试技术实战》

### 练习靶场 ###

[hackthebox][]

[vulnhub][]

## 信息收集 ##

[  网络安全-信息收集][_-]

[《MetaSploit渗透测试魔鬼训练营》之环境搭建][MetaSploit]

[《MetaSploit渗透测试魔鬼训练营》之信息搜集][MetaSploit 1]

## 漏洞扫描 ##

[OpenVAS的安装、使用及实战(GVM，Metasploit使用)][OpenVAS_GVM_Metasploit]

## 渗透攻击 ##

[《MetaSploit渗透测试魔鬼训练营》之WEB应用渗透技术][MetaSploit_WEB]

# 现代密码学 #

没想到半年了，文章更新到这么长了，思维导图就不放在这个里面了，放在下面概论里面了

基本知识

[现代密码学-密码学概论与基本知识][- 3]

传统密码

对称密码

非对称密码

哈希函数与消息认证

数字签名

公钥管理

数字帧数

# CTF #

## 项目推荐 ##

[CTF入门][CTF 1]

[CTF工具][CTF 2]

[CTF工具2][CTF_2]

## 比赛推荐 ##

全国大学生信息安全竞赛

[DDCTF][]

["强网杯"全国网络安全挑战赛][Link 6]

[网鼎杯网络安全大赛][Link 7]

[XCTF][]

[WCTF][]

[TCTF][]

[NSCTF][]

KCTF

# 模糊测试 #

## AFL ##

[模糊测试-AFL学习笔记之C/C++][-AFL_C_C]

[模糊测试-AFL学习笔记之Java][-AFL_Java]

## 文件模糊测试 ##

[模糊测试-radamsa学习笔记][-radamsa]

# 插桩 #

## java插桩 ##

[java插桩-javaassist][java_-javaassist]

[java插桩-Jacoco java代码覆盖率可视化][java_-Jacoco java]

本人b站账号:[lady\_killer9][lady_killer9 1]

喜欢本文的请动动小手点个赞，收藏一下，有问题请下方评论，转载请注明出处，并附有原文链接，谢谢！如有侵权，请及时联系。如果您感觉有所收获，自愿打赏，可选择支付宝18833895206（小于），您的支持是我不断更新的动力。

[FreeBuf]: https://link.zhihu.com/?target=http%3A//www.freebuf.com/
[Link 1]: https://link.zhihu.com/?target=http%3A//www.pediy.com/
[lady_killer9]: https://passport.kanxue.com/user-center-898270.htm
[Link 2]: https://link.zhihu.com/?target=https%3A//www.52pojie.cn/
[Link 3]: https://link.zhihu.com/?target=https%3A//xianzhi.aliyun.com/forum/
[ladykiller9]: https://xz.aliyun.com/u/34147
[Link 4]: https://xlab.tencent.com/cn/
[SecWiki]: https://www.sec-wiki.com/index.php
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20201203171400818.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ==,size_16,color_FFFFFF,t_70
[Web]: https://websec.readthedocs.io/zh/latest/index.html
[RFC-4949]: https://tools.ietf.org/html/rfc4949
[CTF]: http://www.czlgjbbq.top/GJCTF/index.php
[BUUCTF]: https://buuoj.cn/
[bugku]: https://ctf.bugku.com/index.html
[Link 5]: http://hackinglab.cn/index.php
[-php]: https://blog.csdn.net/lady_killer9/article/details/108978062
[-WEB]: https://blog.csdn.net/lady_killer9/article/details/112167885
[-jsonp_cors]: https://blog.csdn.net/lady_killer9/article/details/114208892
[-js_XSS_payloads]: https://blog.csdn.net/lady_killer9/article/details/109058941
[-Mysql]: https://blog.csdn.net/lady_killer9/article/details/108963527
[OWASP TOP 10]: https://owasp.org/www-project-top-ten/
[-_XSS]: https://blog.csdn.net/lady_killer9/article/details/107126005
[-XSStrike]: https://blog.csdn.net/lady_killer9/article/details/109105084
[-_dvwa_XSS_Low_High]: https://blog.csdn.net/lady_killer9/article/details/109117420
[-_pikachu_xss_XSStrike]: https://blog.csdn.net/lady_killer9/article/details/109296718
[xssplatform]: https://github.com/78778443/xssplatform
[-_CSRF]: https://blog.csdn.net/lady_killer9/article/details/107874328
[-_ClickJacking]: https://blog.csdn.net/lady_killer9/article/details/108017437
[-SSRF]: https://blog.csdn.net/lady_killer9/article/details/108267134
[-]: https://blog.csdn.net/lady_killer9/article/details/108005902
[- 1]: https://blog.csdn.net/lady_killer9/article/details/107997034
[-XXE_XML]: https://blog.csdn.net/lady_killer9/article/details/108448865
[-webshell]: https://blog.csdn.net/lady_killer9/article/details/120286817
[-RCE]: https://blog.csdn.net/lady_killer9/article/details/108923214
[-SQL_SQL]: https://blog.csdn.net/lady_killer9/article/details/107300079
[-sqlmap]: https://blog.csdn.net/lady_killer9/article/details/106598738
[-sqlmap 1]: https://blog.csdn.net/lady_killer9/article/details/107288590
[-_dvwa_sql_Low_High]: https://blog.csdn.net/lady_killer9/article/details/108983997
[sqlilabs]: https://github.com/Audi-1/sqli-labs
[sqlmap_sqlilabs-Less1]: https://blog.csdn.net/lady_killer9/article/details/106917954
[-sqlmap_sqlilabs-Less3]: https://blog.csdn.net/lady_killer9/article/details/106972800
[-sqlmap_sqlilabs-Less4]: https://blog.csdn.net/lady_killer9/article/details/106973232
[-sqlmap_sqlilabs-Less5]: https://blog.csdn.net/lady_killer9/article/details/106993930
[-sqlmap_sqlilabs-Less6]: https://blog.csdn.net/lady_killer9/article/details/106994714
[-sqlmap_sqlilabs-Less8]: https://blog.csdn.net/lady_killer9/article/details/107022730
[-sqlmap_sqlilabs-Less9]: https://blog.csdn.net/lady_killer9/article/details/107022767
[-sqlmap_sqlilabs-Less11]: https://blog.csdn.net/lady_killer9/article/details/107256881
[-sqlmap_sqlilabs-Less12]: https://blog.csdn.net/lady_killer9/article/details/107262661
[-sqlmap_sqlilabs-Less13]: https://blog.csdn.net/lady_killer9/article/details/107279850
[- 2]: https://blog.csdn.net/lady_killer9/article/details/114730141
[-_CTF_7]: https://blog.csdn.net/lady_killer9/article/details/111372386
[CTF-_NSCTF 2015_WEB11]: https://blog.csdn.net/lady_killer9/article/details/111383758
[-http]: https://blog.csdn.net/lady_killer9/article/details/106590907
[-https_SSL_TLS_CA]: https://blog.csdn.net/lady_killer9/article/details/107882912
[-Telnet_SSH]: https://blog.csdn.net/lady_killer9/article/details/110875191
[-DNS_DNS]: https://blog.csdn.net/lady_killer9/article/details/110562045
[-UDP]: https://blog.csdn.net/lady_killer9/article/details/110533511
[-TCP]: https://blog.csdn.net/lady_killer9/article/details/109587532
[-IP_NAT_CIDR]: https://blog.csdn.net/lady_killer9/article/details/113482131
[-ICMP_Ping_ICMP]: https://blog.csdn.net/lady_killer9/article/details/110489098
[-ARP_ARP]: https://blog.csdn.net/lady_killer9/article/details/110236990
[-scapy]: https://blog.csdn.net/lady_killer9/article/details/106874235
[-python]: https://blog.csdn.net/lady_killer9/article/details/106929226
[github]: https://github.com/insightglacier/Dictionary-Of-Pentesting
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/2021010309441519.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xhZHlfa2lsbGVyOQ==,size_16,color_FFFFFF,t_70
[-Kali Linux_Linux_Shell]: https://blog.csdn.net/lady_killer9/article/details/112617956
[hackthebox]: https://www.hackthebox.eu/invite
[vulnhub]: http://www.vulnhub.com/
[_-]: https://blog.csdn.net/lady_killer9/article/details/112174078
[MetaSploit]: https://blog.csdn.net/lady_killer9/article/details/112174188
[MetaSploit 1]: https://blog.csdn.net/lady_killer9/article/details/112232690
[OpenVAS_GVM_Metasploit]: https://blog.csdn.net/lady_killer9/article/details/112287791
[MetaSploit_WEB]: https://blog.csdn.net/lady_killer9/article/details/112473184
[- 3]: https://blog.csdn.net/lady_killer9/article/details/117395452
[CTF 1]: https://github.com/firmianay/CTF-All-In-One
[CTF 2]: https://github.com/ctf-wiki/ctf-tools
[CTF_2]: https://github.com/zardus/ctf-tools
[DDCTF]: https://ddctf.didichuxing.com/
[Link 6]: https://www.qiangwangbei.com/
[Link 7]: https://www.wangdingcup.com/index
[XCTF]: https://www.xctf.org.cn/xctf/2020/#match_rule
[WCTF]: https://ctf.360.com/#home
[TCTF]: https://tctf.qq.com/index.html#introduce
[NSCTF]: http://ctft.nsctf.cn/
[-AFL_C_C]: https://blog.csdn.net/lady_killer9/article/details/107321319
[-AFL_Java]: https://blog.csdn.net/lady_killer9/article/details/107173682
[-radamsa]: https://blog.csdn.net/lady_killer9/article/details/107469546
[java_-javaassist]: https://blog.csdn.net/lady_killer9/article/details/108124611
[java_-Jacoco java]: https://blog.csdn.net/lady_killer9/article/details/108255004
[lady_killer9 1]: https://space.bilibili.com/374432302