Web安全测试/渗透测试

这门课适合已经会写测试用例、能看懂 HTTP 请求，但一碰到「安全」两个字就不知道从哪下手的人。如果你现在的状态是：知道 SQL 注入这个词，但真给你一个登录框，不确定该往哪输、输完怎么判断有没有打进去；听说过 Burp Suite，装完打开一看全是英文面板就关掉了——那这门课补的正是这段缺口。

先确认你缺的是哪一块

安全测试的坑在于，它不像功能测试那样有明确的需求文档对照。同一个输入框，功能测试关心「输错了有没有提示」，安全测试关心「输了奇怪的东西会不会被数据库执行」。所以这门课从三块能力拆开讲：

• 看得懂流量：会用代理工具抓包、改包、重放，这是一切手工测试的地基。抓不到包，后面所有漏洞都只能靠工具扫，扫完也不知道为什么是漏洞。
• 认得出漏洞类型：XSS、CSRF、SQL 注入、文件上传、URL 跳转，每一种的攻击位置、判断标志、修复方向都不同，混在一起记必然记不住。
• 说得清风险：发现漏洞只是第一步，能向开发讲清楚「怎么复现、影响范围多大、怎么改」才算闭环。

从 Web 到移动端，覆盖哪些具体场景

课程的主线是围绕 Web 应用展开的。扫描工具部分会讲到 Burp Suite、AWVS、AppScan 这几款常见的，重点不是记住按钮在哪，而是理解主动扫描和被动扫描的区别，以及为什么扫描器报的「疑似漏洞」大多需要人工验证——扫描器会把所有带参数的请求都试一遍，误报率高得离谱，不会验证就等于没扫。

漏洞部分会拆到具体类型：SQL 注入和其他各类注入、XSS、CSRF、HTML5 相关安全问题、HTTP 安全响应头缺失、文件上传、信息侦探（也就是通过报错页、目录列举、注释信息拼出系统结构）。这些不是名词解释，而是各自对应一套手工验证动作。

再往深一层是加密与认证：对称密钥与非对称密钥的区别、MD5 为什么不能直接拿来存密码、会话管理怎么被劫持、传输层安全怎么保障。这一块很多测试同学是绕过去的，结果是看到 HTTPS 就默认安全，看到 token 就默认可靠，实际都不是。

课程还延伸到移动端：APP 安全、dex2jar 与 apktool 这类反编译思路、AllowBackup 漏洞。以及一批靠「量」取胜的攻击手法——拖库、暴力穷举、旁注、提权、ARP 欺骗、DDoS、钓鱼跳转。这些更多是让你建立攻击者视角，知道对方会从哪儿切进来。

配套练习该怎么用

安全测试不动手等于没学。建议按这个顺序推进：先在本地或授权靶场环境里把抓包改包练熟，能手工构造一个带参数的请求并观察响应差异；再拿课程里的漏洞类型逐个复现，每个漏洞至少自己走通「发现—验证—说明影响」三步；最后回头用扫描工具跑同一批目标，对比工具报的和你自己找到的差在哪。

需要提前说明的是：所有练习必须在你自己拥有或获得明确授权的环境里做。对未授权的站点做任何测试都是违规的，这一点课程里也会强调，但值得先说一遍。

看完应该能回答这几个问题

• 给你一个带参数的 URL，你怎么判断它可能存在 SQL 注入，验证步骤是什么？
• 反射型 XSS 和存储型 XSS 的验证方式差在哪，为什么后者危害更大？
• Burp Suite 抓不到包时，通常有哪几种排查方向？
• 一个登录接口只做了前端校验，你能用哪些手段绕过？
• MD5 存密码的问题出在哪，加盐能解决多少？
• 扫描器报了一个高危漏洞，你怎么确认真假？

如果这些问题你现在只能答出模糊印象，那这门课值得按顺序过一遍；如果大部分能说清楚，可以直接跳到加密认证和移动端那两块查漏补缺。