Web安全技术（SQL Injection、XSS、Brute Force等）

如果你在软考备考群里待过，大概见过这种场面：有人问「信息安全工程师怎么准备」，底下回复一半在推题库，一半在说「Web 安全那部分得自己动手打过才记得住」。这门《Web 安全技术》就是冲着后者来的——它不押题，而是把 OWASP Top 10 里最常考也最常出现在真实站点里的几类漏洞拆开讲，让你在本地环境里亲手打一遍。

它到底解决什么工作场景

这门课覆盖的内容很集中：暴力破解、命令注入、跨站请求伪造（CSRF）、文件包含、文件上传与一句话木马、SQL 注入、XSS。这些名字在软考信息安全方向的考纲里反复出现，在实际岗位里也是渗透测试和代码审计的日常入口。

举几个具体场景：登录接口没有次数限制，攻击者用字典跑几天就能撞出弱口令；搜索框直接把用户输入拼进 SQL 语句，一个单引号就能把整张用户表拖出来；评论区不做转义，一段脚本就能在所有访客浏览器里执行。课程就是围绕这些场景，讲清楚漏洞怎么形成、怎么被利用、以及开发侧该怎么堵。

学完能独立做什么

不是学完就变成渗透工程师，但你能做到几件具体的事：

• 在授权范围内对一台靶机完成信息收集、漏洞验证到拿到 shell 的基本流程；
• 看懂一段存在 SQL 注入或 XSS 的代码，指出问题出在哪一行、触发条件是什么；
• 针对文件上传点，判断黑名单校验能不能绕过、绕过成本大概多高；
• 遇到 CTF 里 Web 方向的题目，知道从哪几个点先试，而不是干瞪眼。

这几条对应的是软考下午题和 CTF 入门题的高频考点，也是面试里「你实际动过手吗」这类问题的回答底气。

资料适合什么基础

需要你有基本的 HTTP 概念——知道请求和响应长什么样、GET 和 POST 的区别、Cookie 是干嘛的。如果这些还模糊，建议先补半小时相关基础再进来，否则第三节开始会有点跟不上。

不需要你之前写过 PHP 或 Python，但课程里会涉及读代码和写简单脚本，完全没接触过编程的人，节奏会偏快。有 Linux 命令行基础会更顺，因为靶场环境搭建和工具使用都在命令行里完成。

资料怎么用效率更高

配套的章节笔记不要当目录看。每打完一个漏洞，先合上资料，自己在靶机上把利用过程重做一遍，再对着笔记补漏掉的步骤——这个「先做后补」的顺序，比顺着笔记抄一遍有用得多。

另外，每两到三节做一次小结，重点写清楚三件事：这个漏洞的成因、你用的验证手法、以及修复建议。这份小结在软考案例题和面试前都能直接翻出来用。最后建议挑一个综合靶场，把学过的几类漏洞串成一次完整的测试流程，写成一份简短的报告——这一步做完，这门课才算真正落地。