这门课解决什么问题，适合谁学
Java Web 代码审计的核心痛点，是面对成千上万行业务代码时，不知道从哪里切入，更不懂漏洞是如何在逻辑链路中滋生的。这门课不教通用的安全理论，而是聚焦 J2EE 生态下真实的攻击面。它针对 SSM、SSH 等主流框架，拆解反序列化、SQL 注入、文件上传等常见漏洞的触发机理，重点解决“看懂代码流程”和“定位风险点”这两个关键问题。
从基础门槛来看，这门课适合具备 Java Web 开发基础的读者。如果你已经理解 Servlet、JSP 的基本运行流程，熟悉 Spring、Struts 或 MyBatis 等框架的组件交互，那么这门课能帮你把开发视角转换为审计视角。纯小白或仅懂基础语法的初学者，直接上手会感到吃力，建议先补齐 Java EE 相关背景。
资料如何配合，建议先看哪几块
课程资料的设计遵循“基础铺垫+实战剖析”的双层结构。前段部分侧重于知识储备，后段则进入具体的漏洞场景分析与全流程审计演示。建议学习时，不要急于跳入最后的案例，先在前置基础部分建立对 Java Web 请求链路、框架拦截机制的认知。这部分是后续审计思路的根基，忽略了这里，后面的漏洞分析就会变成死记硬背。
在实际练习中，应遵循“先读代码流程，再对照漏洞特征”的顺序。资料中的审计思路讲解部分，展示了如何追踪用户输入从入口到落库的完整路径。建议读者在观看实战部分时，暂停视频，尝试自己在本地环境复现代码路径，手动梳理数据流向，再对比讲师指出的风险点。这种“预演—验证”的配合方式，比单纯被动观看更能强化对框架漏洞本质的理解。
学完能独立做什么
完成本课程后，你将不再依赖自动化工具的黑盒扫描结果，而是具备对 Java Web 应用程序源码进行白盒审计的独立能力。具体来说，你可以熟练运用常规思路，对基于 SSM 或 SSH 框架的应用进行系统性安全检查，快速定位并理解漏洞的触发场景与利用条件。
这意味着在面临企业安全评估、内部漏洞排查或漏洞修复方案制定时，你能够直接深入代码层面，分析业务逻辑缺陷，给出具有可操作性的修复建议，而非仅仅罗列漏洞名称。这种从源码到风险落地的闭环能力，是代码审计岗位的核心竞争力。
课程目录
审计.png (11. 59 KB, ) 2023-9-24 11: 49 上传 课程介绍： 代码审计,是对应⽤程序源代码进⾏系统性检查的⼯作。 ⽬的是为了找到并且修复应⽤程序在开发阶段存在的⼀些 漏洞或者程序逻辑错误,避免程序漏洞被⾮法利⽤给企业带来不必要的风险。 本课程将针对J2EE常见的漏洞进⾏分析讲解，，熟悉javaWeb应⽤程序的流程分析，介绍SSM、SSH等框架审计思路。 课程主要分为两个部分，前部分为基础部分，让⼤家对基础知识有⼀定了解，后部分为审计+实战部分，全⾯剖析漏洞触发的场景以及整个审计的流程分析。 课程⽬标 ： 通过本课程的学习，可以掌握代码审计的常见思路，熟悉漏洞触发的常见场景，最终可独⽴进⾏代码审计。 课程目录： 1 课程介绍与环境安装配置 2 数据类型与运算符 3 数组的基本操作 4 类和对象 5 面向对象三大特性之封装 6 面向对象三大特性之继承 7 面向对象三大特性之多态 8 抽象类和接口 9 异常处理 10 集合框架及泛型 11 序列化与反序列化 12 反序列化漏洞之弹个计算器 13 Apache-Commons-Collections反序列化漏洞分析及POC构造 14 JSP基础讲解 15 JSP内置对象 16 EL和JSTL 17 Servlet 18 过滤器 Filter 19 监听器 Listener 20 Java Web代码审计思路流程 21 Java Web代码审计之SQL注入 22 Java Web代码审计之框架注入 23 Java Web代码审计之XXE漏洞 24 Java Web代码审计之XSS漏洞 25 Java Web代码审计之SSRF漏洞 26 Java Web代码审计之文件上传漏洞 27 Java Web代码审计之远程命令执行漏洞 28 Java Web代码审计之Fastjson反序列化漏洞 29-vulnerability.zip 29 Java Web代码审计之SPEL表达式注入漏洞 30-vulnerability.zip 30 Java Web代码审计之CORS跨域漏洞 31 Java Web代码审计之Jsonp劫持漏洞 32 项目审计实战（一） 33 项目审计实战（二） 34 项目审计实战（三） 配套资料 DEMO2.rar DEMO3.zip DEMO4.zip DEMO5.zip DEMO6.zip DEMO7.zip DEMO9.zip DEMO9 任务9-2.zip DEMO10.zip DEMO11.rar DEMO12.rar DEMO14.zip DEMO15.zip DEMO17.zip DEMO18.zip DEMO19.zip inxedu.rar liuxing.zip oufu-ofcms-1.1.zip vulnerability24.zip vulnerability25.zip vulnerability26.zip vulnerability27.zip vulnerability.zip vulnerability 任务23-2.zip 第二十八课 Java Web代码审计之Fastjson反序列化漏洞.zip 第二十一课 Java Web代码审计之SQL注入.rar 第十六课 EL和JSTL.zip 第十三课 Apache-Commons-Collections反序列化漏洞分析及POC构造.zip
