Web 安全实战：从协议原理到漏洞利用

这门课解决的核心问题是：很多初学者懂理论但上手就懵，或者只会用工具“跑漏洞”，一旦遇到复杂的业务逻辑或自定义验证机制就束手无策。课程以 Web 安全测试为切入点，填补了从“知道有什么漏洞”到“如何系统性地发现并利用它们”之间的能力 gap。它不局限于单一工具的使用，而是构建一套完整的安全测试思维体系，适合想要进入网络安全领域，特别是 Web 渗透测试方向的开发者和运维人员。

课程首先从 HTTP 协议基础讲起，这是许多速成教程容易忽略的根基。通过深入理解请求结构、通讯原理，学习者能够掌握抓包、改包的本质，而非机械地点击工具按钮。接着，课程详细拆解了客户端绕过、验证机制漏洞等高频攻击场景，如弱密码爆破、验证码破解等，并结合真实互联网案例进行攻防演练。这种“原理+实战+防御”的结构，确保了学员不仅知道怎么攻，更清楚怎么防，从而在面试和实际工作中具备独立判断问题的能力。

适合基础与建议学习路径

本课程适合具备一定 Web 开发基础（如了解 HTML/JS 基本概念）或网络基础知识的学员。如果你完全零代码、零网络概念，建议在开始前先补充一下基础的计算机网络知识。对于有开发经验的转行者来说，这是一门非常友好的入门课，因为它会将安全知识点与你熟悉的开发场景结合起来。

建议的学习路径如下：第一，务必重视第 2 章的 HTTP 协议部分，这是后续所有攻击理解的基础，不要跳过；第二，第 1 章的测试全流程概述可以快速浏览，建立全局观；第三，重点投入时间在第 3、4 章的漏洞实战上，动手复现每一个攻击步骤；第四，不要只看攻击，要同步关注每章末尾的防御实现，这往往是区分初级和中级安全工程师的关键。资料包中提供的靶机环境是练习的核心，建议在本地搭建后，按照章节顺序逐个进行漏洞复现，直到能独立分析出漏洞成因并提交修复建议为止。

学完本课后，你应该能够独立完成常见的 Web 应用安全测试，包括识别 SQL 注入、XSS、越权访问、验证码绕过等典型漏洞，并能使用主流安全测试工具进行初步的风险评估。更重要的是，你将建立起“攻击者视角”，在设计或审查代码时，能主动预判潜在的安全风险，这是 Web 安全从业者最核心的竞争力。

课程目录

第1章 趣解Web安全测试（Web安全测试概述） 试看 5 节 | 87分钟 1-1 Web 安全课程导学 (24:00).mp4
 1-2 WEB安全测试概述 (18:17).mp4
 1-3 安全漏洞风险全面理（一） (17:46).mp4
 1-4 安全漏洞风险全面理（二） (16:52).mp4
 1-5 测试全流程讲解 (09:37).mp4
 第2章 安全测试项目与工具（Web安全测试必备技能） 8 节 | 135分钟 2-1 安全测试必备技能（上）-HTTP协议基础（一） (20:45).mp4
 2-2 安全测试必备技能（上）-HTTP协议基础（二） (26:35).mp4
 2-3 安全测试必备技能（下）-熟悉HTTP协议结构和通讯原理（一） (17:53).mp4
 2-4 安全测试必备技能（下）-熟悉HTTP协议结构和通讯原理（二） (11:44).mp4
 2-5 安全测试必备技能（下）-熟悉HTTP协议结构和通讯原理（三） (11:49).mp4
 2-6 安全测试必备技能（下）-熟悉HTTP协议结构和通讯原理（四） (10:00).mp4
 2-7 安全测试必备技能（下）-熟悉HTTP协议结构和通讯原理（五） (16:10).mp4
 2-8 快速熟悉安全测试工具及安全应用靶机 (19:50).mp4
 第3章 绕过客户端攻击（绕过客户端安全处理） 5 节 | 74分钟 3-1 绕过客户端攻击（实战）（一） (15:23).mp4
 3-2 绕过客户端攻击（实战）（二） (11:10).mp4
 3-3 绕过客户端攻击（实战）（三） (14:29).mp4
 3-4 绕过客户端攻击-互联网实例 (20:16).mp4
 3-5 防御客户端绕过技术实现&总结 (12:30).mp4
 第4章 验证机制漏洞（操作验证机制漏洞） 试看 6 节 | 101分钟 4-1 互联网验证机制漏洞的模式与分类 (08:34).mp4
 4-2 弱密码、暴力破解、攻击与防御（互联网真实案例+实战演练） (36:21).mp4
 4-3 忘记密码的攻击措施和防御手段（互联网真实案例+实战演练） (21:55).mp4
 4-4 多阶段登录存在的安全风险及攻防（实战演练） (10:59).mp4
 4-5 其他验证机制漏洞 (11:21).mp4
 4-6 章节总结 (11:05).mp4
 第5章 会话管理漏洞（Web安全测试之会话管理） 6 节 | 103分钟 5-1 会话管理概述 (16:19).mp4
 5-2 会话令牌生成安全风险（一） (22:34).mp4
 5-3 会话令牌生成安全风险（二） (16:59).mp4
 5-4 会话劫持的攻击手段 (21:05).mp4
 5-5 会话固定攻击与会话终止攻击 (16:17).mp4
 5-6 会话的安全处理&总结mp4 (09:45).mp4
 第6章 访问控制漏洞（访问控制问题实战） 3 节 | 38分钟 6-1 访问控制权限漏洞概述 (07:26).mp4
 6-2 水平越权与垂直越权（实战） (23:51).mp4
 6-3 越权漏洞防御 (06:22).mp4
 第7章 详解注入漏洞（注入问题的最优处理） 

12 节 | 219分钟 7-1 注入漏洞概述 (07:26).mp4
 7-2 SQL注入的攻击原理（实战演练） (22:21).mp4
 7-3 针对SQL注入的攻击与测试验证方法（一） (24:51).mp4
 7-4 针对SQL注入的攻击与测试验证方法（二） (27:10).mp4
 7-5 SQL盲注攻击（一） (22:29).mp4
 7-6 SQL盲注攻击（二） (21:58).mp4
 7-7 SQLMAP使用 (19:28).mp4
 7-8 SQL注入案例及防御 (10:42).mp4
 7-9 XML注入漏洞浅析 (16:12).mp4
 7-

10 文件包含注入漏洞（实战演练） (14:37).mp4
 7-

11 命令执行漏洞（实战演练） (20:11).mp4
 7-

12 注入漏洞总结及课后作业 (10:47).mp4
 第8章 解析跨站脚本攻击（跨站脚本攻击的解析及处理） 8 节 | 101分钟 8-1 深入浅出跨站脚本攻击 (16:54).mp4
 8-2 反射式XSS攻击与测试（一） (20:45).mp4
 8-3 反射式XSS攻击与测试（二） (17:51).mp4
 8-4 存储式XSS攻击与测试 (15:08).mp4
 8-5 基于DOM的XSS攻击与测试 (11:22).mp4
 8-6 XSS攻击的防御 (04:55).mp4
 8-7 总结及课后作业 (07:35).mp4
 8-8 本章脚本攻击小结 (05:53).mp4
 第9章 深入请求伪造漏洞（深入请求伪造漏洞问题） 2 节 | 36分钟 9-1 服务端请求伪造的探测方法及修复-SSRF (15:12).mp4
 9-2 跨站请求伪造的产生、危害和防御 - CSRF (19:57).mp4
 第10章 文件处理漏洞（完善文件处理漏洞） 3 节 | 34分钟 10-1 常见安全漏洞之文件上传漏洞（一） (11:02).mp4
 10-2 常见安全漏洞之文件上传漏洞（二） (08:43).mp4
 10-3 常见安全漏洞之逻辑漏洞 (13:33).mp4
 第11章 真实安全测试攻击手段分析（剖析真实安全测试攻击手段） 3 节 | 37分钟 11-1 互联网安全攻击的避免与应对 (08:04).mp4
 11-2 互联网安全攻击的避免与应对 (11:34).mp4
 11-3 再谈互联网攻击实施手段 (16:49).mp4