了解了 Web 安全学习的路线后,你也就知道了学习的方向,那我们应该怎样去学习呢?

admin 发布于 1个月前 分类:在线教育

常言道“学以致用”,但在注重实践的计算机科学领域,有时“用以致学”可能效果更佳。换句话说,就是带着实际的应用目的去学习。我列举了以下 6 个场景,你可以带着这些目的去学习。

面向岗位学习
你毕业后肯定得找工作,如果你想从事安全工作,这关是免不了,除非你家里有矿,那当我没说。

对于面向岗位的学习,你可以直接上招聘网站查找相关岗位的招聘要求,比如在拉勾网搜索“Web 安全”,然后挑选自己感兴趣的公司,比如腾讯或 360,然后查看其岗位描述:

关键在于“任职要求”,一般招聘信息里面都会有“职位描述”和“任职要求”或“岗位要求”的信息,“任职要求”里面与技术相关要求就是你要学习的方向。比如上图 360 的招聘信息,总结下技术要求就是:熟悉 Web 漏洞攻防、工具实战、开发能力。

这几块能力要求在本课程中都会涉及,但主要还是集中在 Web 漏洞攻防的部分。这是最主要的要求。其他工具实战在靶场介绍中会涉及,后面也会有一些常见的渗透测试工具的集合介绍。

带着这种求职岗位的要求就可以很容易地找到学习的方向,对未来找工作也有直接的帮助。

面向赏金学习
当前国内 SRC(安全响应中心)平台早已是企业标配,各家各户有能力的都在自建,没能力没条件的就寄托在第三方漏洞平台上。无论是自建的还是寄托在第三方漏洞平台上的,它们的目的只有一个,那就是收集自家产品漏洞,提高产品安全性,完善自身检测与防御系统,同时避免被公关炒作。

SRC 平台会给报告者提供奖品或现金奖励,因此长期吸引着大批白帽子为其测试网站。国外比较著名的漏洞奖励平台有 HackerOne,像微软 Google、Apple 也都有自己的漏洞奖励计划,但因后者都是美金奖励,在汇率的优势下,奖金换算成人民币,常常价值不低。这也是一些老白帽子更喜欢混迹于国外漏洞奖励平台的原因。

Web 漏洞常常都能够直观地危害到网站的安全性。它们整体上相比二进制漏洞更容易被利用,危害也就更大。除了像微软、Google、Apple 这种集中在二进制漏洞为主的奖励计划,很多赏金其实都是分给了 Web 漏洞,比如 SRC、HackerOne。

你可以根据漏洞奖励计划中提供的网站范围,有针对性地进行安全测试,然后将发现的漏洞报给平台换取赏金。这种以赏金为驱动力的学习方式,对于在校生特别有诱惑力。他们可以通过赏金购买书籍、电子产品进一步学习,然后挖掘更多漏洞,赚取更多赏金,将学习转变为主动学习,构造出良性特征的学习动力。

采用面向赏金的学习方法,不仅可以提高自身的漏洞实战能力,而且还可以赚取赏金,何乐而不为?

面向工具学习
GitHub 上经常开源一些优秀的安全工具,在 Web 安全领域,以 sqlmap 最为著名。整个项目非常工程化,表现能力也非常优秀。它采用 Python 开发,通过阅读 sqlmap 源码,对研究 SQL 注入漏洞有很大的帮助。

其他的还有一些漏洞靶场,除了实战测试,也可以通过源码了解是什么样的代码导致的漏洞,避免自己在未来开发中遇到。

一些优秀的开源工具,常会提供一些不错的漏洞检测和利用的方向,及时掌握相关技术,有助于自身技术的与时俱进,避免落后于技术发展。

面向漏洞学习
在国外有词叫 Variant Analysis,直译过来叫“变异分析”,意思是通过历史漏洞学习和研究,从而挖掘出类似产品中更多相似的漏洞。尤其是同一款产品下,如果开发写出了一个漏洞,那么在其他地方出现同一类漏洞的概率就比较大。

乌云网已经成为历史,但其遗留下的漏洞案例是一笔不错的财富。网上也有人搭建了乌云镜像提供相关的漏洞、知识库的检索,你可以点击链接查看。

HackerOne 通常在漏洞修复后的 3 个月会公开漏洞细节,栏目名叫“Hacktivity”,它提供 RSS 订阅,可以非常方便地关注。

说到漏洞库就不得不提 Exploit-db,其中有着丰富的漏洞细节和利用代码。2014 年那时还是一个叫 milw00rm 的漏洞库为主流,milw00rm 不再维护后,所有漏洞信息都被并入了 Exploit-db。至今,Exploit-db 还在正常运营,其背后的团队正是打造了著名黑客系统 Kali 的 Offensive-Security 安全公司,是一家专门从事安全培训和渗透测试服务的提供商。

这种通过漏洞学习漏洞的方式,除了加深对漏洞的理解,还可以提高漏洞挖掘的产出,是一种十分有效地学习方式。

面向大牛学习
在你感兴趣的安全领域里,通常都有一些大牛,你可以去收集他们发表的论文、文章、大会议题,关注他们的微博、公众号、Twitter、GitHub、博客等社交平台账号,去了解他们的技术成长路线。

这种学习方法,前期以模仿为主,参考他们的学习方法、技术文章,把握行业技术趋势;后期是在入门之后,有了一定的技术积累,就可以开始在前人的基础上自主研究技术、创新技术,这是比较难的一个阶段,但突破后,你在技术上将会有质的飞跃。

关注安全动态
技术发展非常迅速,一不留眼你就落后了,所以要避免闭门造车,比如诺基亚的塞班、微软的 Windows Mobile,现在都退出了历史舞台,如果你之前不关注这些,还在埋头研究它们的安全性,那就有点浪费时间了。

你可以关注一些技术资讯网站、公众号、Twitter、Github、博客、RSS 订阅集合,国内外安全大会(工业界顶会:BlackHat、Defcon、CanSecWest、OffensiveCon,学术界顶会:CCS、NDSS、Oakland S&P、USENIX Security),以及 CTF 比赛等。这些都可以帮你了解安全动态的途径。

在文末的“网站推荐”中,我已经整理一份清单,建议你采用 RSS 订阅的方式关注,手机上装个 RSS 订阅客户端,比如 Inoreader、Feedly、深蓝阅读,一有更新就可以立马感知到,非常方便。

0个回复

  • 暂无回复

联系我们

侵权投诉:nerds@nigaea.com

工作时间:周一至周五,9:30-18:00,节假日休息

QR code