1. 项目概述一份面向未来的Web安全成长蓝图最近几年我明显感觉到一个趋势无论是刚入行的安全新人还是有一定经验的工程师都面临着巨大的知识焦虑。Web安全领域的技术栈更新太快从传统的SQL注入、XSS到云原生安全、API安全、供应链攻击攻击面在爆炸式增长。很多人学了一堆零散的工具和漏洞却很难形成体系更别提构建起能抵御真实威胁的企业级防御架构了。这正是我设计这份“90天Web安全攻防学习图谱”的初衷——它不是一个简单的课程列表而是一张结合了当前技术趋势、实战需求和个人成长路径的动态导航图。这份图谱的核心目标非常明确帮助学习者用90天时间完成从能够发现单个漏洞的“猎人”到能够设计并落地企业整体安全防御体系的“架构师”的思维和能力跃迁。“漏洞猎人”的视角是点状的专注于发现和利用而“防御架构师”的视角是立体的需要理解业务、平衡风险与成本、设计纵深防御体系。这个过程不仅仅是学习新技术更是思维模式的彻底转换。它适合哪些人首先是决心在Web安全领域深耕的初学者这份图谱能帮你避免走弯路直接构建正确的知识框架。其次是处于瓶颈期的中级安全工程师你可能精通渗透测试但对如何将安全能力产品化、体系化感到迷茫图谱中后60天的内容正是为你准备的。甚至是一些中小企业的技术负责人你也可以通过这份蓝图来审视和规划自己团队的安全建设路径。接下来我将为你层层拆解这张图谱的每一个关键模块。2. 图谱核心设计思路与阶段划分为什么是90天这不是一个随便设定的数字。根据认知规律和技能习得的“平台期”理论将一个宏大的目标拆解为以“月”为单位的冲刺阶段是最容易坚持且能见到成效的。这份图谱采用了“三阶段螺旋式上升”的设计第一阶段筑基与破壁第1-30天这个阶段的目标是“从0到1”建立完整的Web安全攻击视角。重点不是让你成为某个漏洞的专家而是系统性遍历OWASP Top 10等核心漏洞原理、利用手法和手工测试技巧。关键在于“手脑并用”拒绝成为只会运行自动化工具的“脚本小子”。我们会从HTTP协议、前端代码HTML/JS与后端逻辑PHP/Java/Python的交互关系讲起让你真正理解漏洞产生的根源。例如学习SQL注入时不仅要会用sqlmap更要能徒手构造时间盲注的Payload理解预编译的原理究竟如何从根本上防御它。第二阶段实战与体系第31-60天在掌握了“矛”之后这个阶段开始锻造“盾”并学习更高阶的“矛法”。目标是从“漏洞利用者”转向“攻防对抗参与者”。内容将横向扩展涵盖内网渗透初步理解域环境、横向移动的基本思路这是从Web漏洞到获取整个网络控制权的关键跳板。安全开发DevSecOps学习如何在SDLC软件开发生命周期中嵌入安全。包括SAST/DAST工具的原理与集成、开源组件扫描SCA、以及如何编写安全的API。CTF/靶场进阶实战通过精心挑选的、模拟真实世界复杂场景的CTF题目包括Web、Crypto、Reverse等锻炼你的漏洞组合利用、代码审计和逆向思维能力。这能极大提升你在面对“奇怪”问题时的调试和解决能力。第三阶段架构与升华第61-90天这是实现从“工程师”到“架构师”跨越的关键阶段。重点从技术细节转向体系设计、风险管理和资源协调。企业安全架构设计学习如何设计零信任网络架构、微服务安全网格、云上安全基线。理解WAF、RASP、SIEM、SOAR等安全组件的位置、选型考量与联动逻辑。安全运营中心SOC建设了解威胁情报的接入与应用、告警降噪与事件分级响应流程的设计。风险评估与合规学习如何开展企业级的风险评估将技术风险转化为业务语言并满足等保、GDPR等合规要求。软技能与视野包括安全方案汇报、跨部门沟通、以及跟踪研究前沿攻防技术如供应链攻击、AI安全的方法论。这三个阶段并非完全线性后一阶段会不断回溯和深化前一阶段的知识形成“学习-实践-思考-重构”的螺旋上升闭环。实操心得很多人在第一阶段就卡住了因为他们沉迷于使用自动化工具快速获得“成功”的快感。我的强烈建议是前30天禁用你的sqlmap和Burp Intruder用于爆破的功能。强迫自己用Burp Repeater手动构造每一个请求用Python写脚本去处理数据。这个过程痛苦但收益巨大它能帮你建立起对HTTP流量和应用程序逻辑最细微的直觉。3. 第一阶段详解Web安全攻防基础夯实第一阶段是整个大厦的地基必须打得又深又稳。我们按周来分解核心任务与学习要点。3.1 第一周环境搭建与协议深潜工欲善其事必先利其器。第一周的首要任务是建立一个高度可控、可复现的练习环境。靶场环境搭建推荐使用Docker组合部署DVWA、WebGoat、bWAPP和SQLi-Labs。这不仅能练习Docker的基本操作更能让你拥有一个随时重置、隔离的测试环境。切勿直接在网上找公开靶场开始自己的环境调试起来更方便。# 示例快速启动一个DVWA docker run --rm -it -p 80:80 vulnerables/web-dvwa核心工具链配置浏览器与代理Chrome/Firefox Burp Suite Professional社区版也可但需配置CA证书。重点理解代理原理、如何拦截/修改HTTPS流量。漏洞扫描器初识安装Nuclei学习使用社区模板进行快速扫描但明确其定位是“辅助发现”而非“判断依据”。脚本环境配置好Python3环境安装requests,BeautifulSoup,lxml等库为后续编写POC做准备。HTTP/HTTPS协议深潜这可能是最重要却最被忽视的一课。你需要像读母语一样读懂HTTP请求与响应。重点研究Cookie、Session、Token的生成、传递与认证逻辑。同源策略SOP与跨域CORS的细节这是理解很多前端安全问题的基石。使用Burp Suite的Repeater模块手动修改每一个可能的参数GET/POST/Header/Cookie观察应用的不同反应。3.2 第二至四周OWASP Top 10漏洞原理与手工利用接下来三周我们将深入OWASP Top 10中的核心漏洞。每天聚焦1-2种采用“原理-手动利用-自动化工具-修复方案”四步法。第二周重点注入与失效的身份认证SQL注入原理理解动态拼接SQL语句的危险性。手工利用学习联合查询注入、报错注入、布尔盲注、时间盲注。手动构造Payload使用UNION SELECT爆数据库名、表名、字段名。关键技巧掌握使用CONCAT,GROUP_CONCAT,SUBSTRING,IF,SLEEP等数据库函数来构造复杂Payload。了解不同数据库MySQL, PostgreSQL, SQL Server, Oracle的语法差异。修复深入理解参数化查询预编译语句的原理明白为什么它比过滤更有效。身份认证漏洞暴力破解编写Python脚本针对弱口令进行定向爆破学习设置合理的延迟和代理池以避免被封禁。会话管理缺陷分析会话令牌的生成是否可预测如基于时间戳是否存在会话固定攻击漏洞。多因素认证MFA绕过了解并尝试逻辑绕过例如在验证步骤中直接跳转到成功页面。第三周重点跨站脚本与敏感数据泄露跨站脚本XSS原理区分反射型、存储型、DOM型。理解浏览器如何解析HTML、JS以及执行顺序。手工利用构造能窃取Cookiedocument.cookie、发起伪造请求XMLHttpRequest、进行键盘记录onkeypress的Payload。进阶学习同源策略下的数据窃取技巧如利用img标签的onerror属性发起请求到攻击者服务器。修复理解并实践上下文相关的输出编码HTML实体编码、JavaScript编码、URL编码以及CSP内容安全策略的配置与绕过。敏感数据泄露主动发现在Burp Suite的Target站点地图中仔细查看每一个JS文件、API接口返回的数据寻找硬编码的密钥、API Token、内部IP地址等。目录遍历与信息泄露尝试访问.git,.svn,.DS_Store,/backup,/admin等常见敏感目录和文件。第四周重点逻辑漏洞与组件安全业务逻辑漏洞这是最能体现“猎人”思维的领域。核心是理解应用程序的业务流程并寻找其逻辑断点。常见场景权限绕过垂直/水平越权、订单金额篡改、竞争条件抢购、领券、密码重置流程缺陷验证码可爆破、Token返回客户端等。测试方法绘制业务流程图对每一个判断节点如“是否登录”“是否是管理员”“库存是否0”进行测试。不安全的直接对象引用IDOR修改请求中的对象ID如用户ID、订单号、文件名测试是否能访问未授权的资源。组件与依赖漏洞学习使用Dependency-Check或npm audit/pip-audit扫描项目依赖。理解如何根据CVE编号在Exploit-DB、GitHub或NVD上查找公开的漏洞利用代码POC/EXP并在隔离环境中验证。注意事项在这一阶段切忌“为了找漏洞而找漏洞”。每学一个漏洞就问自己三个问题1. 这个漏洞产生的根本原因是什么2. 在代码层面它长什么样3. 除了标准修复方案在架构设计上如何避免这种追问能帮你建立更深层的理解。4. 第二阶段详解从点到面构建攻防视野完成基础夯实后你已具备单点突破的能力。第二阶段的目标是将这些点连接成面并引入防御者视角。4.1 第五至六周内网渗透入门与横向移动Web漏洞往往是进入内网的入口。理解内网渗透能让你对攻击链有完整认识从而在设计防御时更有针对性。环境搭建使用VMware或VirtualBox搭建一个简单的域环境如一台Windows Server作为域控一台Win10作为域成员一台Linux作为Web服务器。入口突破后的基础操作权限维持学习上传WebShell后的进一步操作如生成各种类型的后门MSF的meterpreter、Cobalt Strike的beacon并配置持久化计划任务、服务、启动项、WMI。信息收集在Windows和Linux系统上学习使用系统命令whoami,ipconfig/ifconfig,netstat,systeminfo和脚本PowerShell的Get-ADUser,BloodHound的采集器收集用户、网络、域内关系等信息。横向移动技术密码哈希与票据理解NTLM哈希与Kerberos票据的概念。学习使用Mimikatz抓取内存中的密码哈希和票据以及Pass-The-Hash、Pass-The-Ticket攻击手法。利用共享与服务学习使用SMB、WMI、PsExec等协议和工具在已知凭证的情况下执行远程命令。BloodHound实战这个工具能可视化域内的攻击路径。学习如何采集数据并解读其生成的“最短攻击路径”图理解“域管理员”权限是如何通过复杂的继承和组合关系被间接获取的。4.2 第七至八周安全开发与自动化武器库作为未来的架构师你必须懂开发。这一阶段的目标是“向左移”将安全嵌入开发流程。安全编码基础针对你熟悉的语言Java/Python/Go等学习其常见的安全编码规范。例如在Java中避免使用Runtime.exec()在Python中避免eval()在所有语言中都使用预编译语句处理SQL。学习使用SonarQube进行静态代码扫描SAST理解其规则并能对误报和漏报进行分析。DevSecOps管道集成在CI/CD管道如Jenkins、GitLab CI中集成安全工具。SAST在代码提交或合并时自动触发扫描。DAST对测试环境的应用程序进行动态扫描。SCA使用Trivy或Dependency-Check扫描容器镜像和项目依赖的漏洞。秘密信息扫描使用Gitleaks或TruffleHog防止密钥、令牌被意外提交到代码库。自动化POC编写将你第一阶段手工验证漏洞的过程用Python脚本使用requests库自动化。这不仅能提升效率更是理解漏洞利用链细节的绝佳方式。例如编写一个自动检测和利用特定CMS的未授权访问漏洞的脚本。4.3 第九至十周CTF综合实战与代码审计CTF是绝佳的思维训练场尤其是其中的Web和逆向题目能极大锻炼你的代码分析和逻辑推理能力。CTF Web题型突破PHP/Java反序列化这是CTF Web题的常客。理解序列化数据的结构寻找魔术方法如PHP的__wakeup,__destruct的利用点并构造利用链POP Chain。模板注入SSTI学习识别Jinja2(Python)、Twig(PHP)、Freemarker(Java) 等模板引擎的注入并利用其内置函数执行系统命令。Node.js原型链污染理解JavaScript的原型继承机制学习如何通过污染__proto__等属性来影响对象行为最终实现RCE。白盒代码审计实战选择一些有历史漏洞的开源项目如旧版WordPress插件、ThinkPHP框架尝试在不看任何漏洞通告的情况下通过阅读代码发现安全问题。审计方法从危险函数如eval,system,exec回溯用户输入从用户输入如$_GET,$_POST跟踪数据流看是否经过充分的过滤和校验。工具辅助使用Semgrep编写自定义规则来批量检测代码中的特定风险模式。实操心得在CTF和代码审计中你会遇到大量“非标准”的漏洞。这时调试能力至关重要。学会在本地搭建题目环境使用Xdebug(PHP)、pdb/ipdb(Python) 或IDE的调试器一步步跟踪变量和执行流程。这个能力在分析真实世界复杂的0day漏洞时是无价之宝。5. 第三阶段详解架构思维与安全运营最后30天我们将视角从技术执行层提升到系统设计层。你需要思考的不再是“如何攻破这个点”而是“如何保护一个面”。5.1 第十一至十二周企业安全架构设计安全架构的核心是平衡风险、成本与业务流畅度。零信任网络架构ZTNA核心理念“从不信任始终验证”。摒弃传统的基于网络位置的信任内网即安全。关键组件身份与访问管理IAM、微隔离、软件定义边界SDP。学习如何设计基于身份的访问策略让每次访问请求都经过严格认证和授权。云原生安全基础设施即代码IaC安全在Terraform、Ansible等模板中定义安全基线如网络ACL、实例最小权限。容器与K8s安全镜像安全扫描、Pod安全策略、网络策略NetworkPolicy、Secrets管理。云服务配置审计使用AWS Config、Azure Policy或开源工具Cloud Custodian持续监控云资源是否符合安全策略如S3桶是否公开、安全组是否过于宽松。纵深防御体系设计边界防御WAF的规则配置与绕过研究理解正则匹配的局限性抗DDoS方案。应用运行时防护了解RASP的原理它如何在应用内部监控和阻断攻击行为与WAF形成互补。终端检测与响应EDR在主机层面监控可疑进程、网络连接和文件操作。5.2 第十三至十四周安全运营中心SOC建设安全架构是静态的蓝图安全运营是动态的引擎。SOC是让安全体系“活”起来的大脑。日志聚合与关联分析学习使用ELK StackElasticsearch, Logstash, Kibana或Splunk来集中收集网络设备、服务器、应用日志。编写关联分析规则例如“同一个IP在短时间内对多个用户发起密码重置请求”可能预示着撞库攻击。安全信息与事件管理SIEM理解SIEM的核心功能标准化、聚合、关联、告警、仪表盘。学习编写高质量的检测规则Use Case平衡检出率和误报率。一个糟糕的规则会产生警报疲劳让真正的威胁被淹没。威胁情报的整合与应用了解STIX/TAXII标准学习如何订阅开源或商业威胁情报源如恶意IP、C2域名、漏洞信息。将威胁情报指标IOC导入SIEM或防火墙实现自动化阻断或高优先级告警。事件响应流程设计一个分级响应预案Playbook。例如针对“挖矿木马”事件Playbook应包含隔离主机、排查入侵途径、清除恶意进程、修复漏洞、恢复业务等标准化步骤。5.3 第十五至十六周风险管理、合规与软技能安全最终是为业务服务的。架构师必须能够用业务语言沟通风险并满足法律合规要求。风险评估方法论学习OWASP Risk Rating Methodology或FAIR模型对识别出的资产、威胁、脆弱性进行定性或定量分析计算风险值。制作风险矩阵图向管理层清晰展示哪些是高风险、需要立即投入资源解决哪些是低风险、可以接受或延缓处理。合规性框架了解国内外主要合规要求的核心思想如等保2.0的“一个中心三重防护”GDPR的“隐私设计”和“数据最小化”原则。理解合规不仅是“过关”更是建立系统化安全管理的契机。将合规要求映射到具体的技术控制措施上。架构师软技能方案编写与汇报学习如何撰写清晰、有说服力的安全方案建议书。用“业务影响”代替“技术风险”用数据如可能造成的经济损失、品牌损失支撑你的观点。跨部门沟通与开发团队沟通时避免说“你不安全”而是说“我们一起看看怎么让这个功能更健壮”。与运维团队协作将安全配置基线转化为可自动执行的脚本或模板。6. 学习路径常见问题与资源指引在90天的旅程中你一定会遇到各种困惑和障碍。这里我整理了一些最常见的问题和我的建议。6.1 时间与精力管理问题Q每天需要投入多少时间工作忙无法保证怎么办A图谱设计为每天平均2-3小时的高效学习时间。如果时间紧张关键在于连续性而非单次时长。周末可以集中进行4-5小时的实战练习如打一个CTF或审计一个项目。利用通勤、午休等碎片时间阅读技术文章、看漏洞分析报告。最重要的是制定周计划并每周复盘完成情况灵活调整。Q遇到复杂概念如Kerberos协议、零信任看不懂怎么办A这是正常现象。我的方法是“分层理解”和“寻找类比”。首先不要试图一次性弄懂所有细节。先理解其核心要解决的问题和基本工作流程第一层。然后通过搭建简易实验环境第二层观察现象。最后再回头阅读RFC或权威书籍第三层深究细节。对于抽象概念寻找生活中的类比比如把零信任比作进入公司每道门都需要刷卡而非仅仅进入大楼时刷一次。6.2 技术疑难与突破瓶颈Q工具很多如何选择是否需要全部精通A绝对不需要。遵循“二八定律”精通核心工具了解其他工具的用途即可。必须精通Burp Suite特别是Repeater, Intruder, Scanner、浏览器开发者工具、一个你擅长的编程语言Python/Go。需要熟练使用Nmap, SQLMap知其原理慎用自动化 Docker, 一款主流渗透测试Linux发行版如Kali的基本命令。了解即可知道Metasploit,Cobalt Strike,BloodHound,Impacket套件能做什么在需要时能快速查文档使用。Q感觉知识点太多太散学完就忘无法形成体系A建立你自己的“安全知识图谱”。推荐使用笔记软件如Obsidian, Notion以“漏洞类型”、“攻击技术”、“防御方案”、“工具”、“案例”为节点用链接将它们关联起来。每学一个新知识就思考它应该连接到图谱的哪个部分。定期如每周末回顾和整理这个图谱你会发现知识不再是孤岛。6.3 实战资源与社区推荐持续学习离不开优质的输入源和同行交流。漏洞情报与深度分析博客/平台Seebug漏洞社区、奇安信威胁情报中心、绿盟技术博客、知道创宇技术博客。关注像Orange Tsai,Jianing Wang等知名研究者的个人博客。国外资源The Hacker News, PortSwigger Research Blog, Google Project Zero Blog。实战练习平台综合靶场HackTheBox, TryHackMe非常适合新手国内的“火线”、“春秋”等。CTF平台CTFtime赛事日历攻防世界题目丰富以及各大高校和企业的年度CTF赛事。代码审计在GitHub上搜索带有CVE-年份-编号标签的开源项目阅读其修复提交记录。社区与交流积极参与安全论坛的讨论如看雪论坛、FreeBuf社区。在Twitter/X上关注安全研究人员在GitHub上关注安全工具的开源项目。尝试将你的学习心得、漏洞分析写成文章分享出来。教是最好的学写作能迫使你理清思路加深理解。最后我想分享一点贯穿这90天乃至整个职业生涯的体会Web安全是一场永无止境的攻防博弈。这份图谱给你的不是终点而是一张地图和一个罗盘。地图让你看清当前所处的位置和前方的路径罗盘即持续学习、实践和思考的方法则指引你在技术不断演变的迷雾中保持方向。真正的架构师其价值不在于记住了多少CVE编号而在于能否在面对一个全新的业务系统或技术栈时快速识别其核心风险并设计出优雅、有效且与业务共生的安全方案。这90天是为你锻造这个核心能力的开始。现在从搭建你的第一个靶场环境开始动手吧。
