Web白帽子Python入门

课程解决什么实际问题

很多对 Web 安全感兴趣的新手，第一步往往卡在三处：不懂 HTTP 协议、不知道漏洞怎么产生、学了 Python 却不知道能拿来做什么。这本书专门填补这三个空白，它不是通用的 Python 教材，也不是厚厚一本的安全理论书，而是直接把这两者缝合在一起的工具书——让你在学习 Python 语法的同时，立刻看到它能用在 Web 渗透测试的哪些场景里。

书中从最基础的 HTTP 请求结构讲起，逐步引入 SQL 注入、XSS、命令注入等常见漏洞的原理，并在每个知识点后面配上对应的 Python 实现。你会学到如何用 requests 库构造自定义请求、如何解析 HTTP 响应、如何用正则或解析器提取敏感数据、如何把多个探测步骤串联成脚本。这些内容都是实际渗透测试中会遇到的真实工作场景，而不是纸上谈兵的模拟练习。

适合什么基础、学习顺序建议

门槛很低，只需要你有最基本的计算机常识——知道什么是浏览器、什么是网址、什么是服务器。不需要你已经会 Python，也不需要你懂网络协议。如果你连“GET 请求和 POST 请求有什么区别”都不知道，建议先花半小时补一下这个概念，后面的内容会顺畅很多。

学习顺序建议如下：先把前三章的 Python 语法部分过一遍，重点理解变量、函数、模块导入和 requests 库的基本用法；然后回到 Web 基础部分，搞清楚 HTTP 的请求头、响应码、Cookie 这些概念；之后再进入漏洞原理章节，每一步都配合书中提供的 Python 代码动手跑一遍；最后挑战实战部分，用所学脚本去本地靶场验证漏洞。不要一上来就看最后的实战章节，基础不牢的话，那些代码对你来说只是看不懂的符号。

学完能独立做什么、资料怎么配合练习

完成这本书后，你应该能够独立完成几类基础工作：编写简单的 Web 漏洞探测脚本、手动验证常见的 SQL 注入和 XSS 漏洞、理解渗透测试中自动化脚本的基本逻辑。这些能力虽然只是入门级别，但足够让你在后续学习更专业的工具（如 Burp Suite、SQLmap）时，不再是对着界面发呆的新手。

资料包里的内容主要是配合练习用的靶场环境和示例脚本，不要只看不练。建议搭建一个本地测试环境，比如下载 DVWA 或者使用 PortSwigger Web Security Academy，把书中的脚本一个一个跑起来，观察输入输出，修改参数看结果变化。安全技能的掌握不靠阅读，靠的是手和眼睛的配合——你亲手跑通的每一个脚本，都会在后续的实战中派上用场。