Web安全入门与靶场实战（二）

这门课叫「Web安全入门与靶场实战（二）」，名字里的「二」是实话：它不是那种从零开始讲 HTTP 协议、讲什么是 SQL 注入的扫盲课。它默认你已经知道一个登录框背后大概会发生什么，然后直接把你丢进 VulnHub 的靶机里，让你自己走一遍从信息收集到拿权限、再到翻代码找漏洞的过程。

所以这篇导读想先说清楚一件事：如果你连 nmap 扫端口、目录爆破、Burp 抓包改包这些动作都还没做过，这门课会让你有点难受。它的定位是「补中间那段」——很多人看过一堆漏洞原理，却不知道在真实机器上先做什么、后做什么，卡在哪一步该换思路。这门课补的就是这段。

它假设你会什么，又准备教你什么

课程简介写的是「从扫描到提权」，这个顺序本身就是渗透测试的主干。前半段是信息收集：端口、服务、版本、目录、指纹，这些都是后面所有判断的依据。很多人做靶机时的通病是扫完就急着找漏洞，结果漏掉了某个不起眼的目录或服务，绕了一大圈。这门课会带着你把「先看清目标」这一步做扎实。

后半段进入拿 Shell 和提权。这里会涉及 WebShell 的相关操作——怎么上传、怎么连接、怎么在受限环境下执行命令、怎么从 Web 权限往上走。这部分是很多自学的人最容易断链的地方：拿到了一个低权限的 Shell，然后呢？课程围绕这条线往下推，让你知道提权不是碰运气，而是基于对系统信息的判断。

代码审计不是选修，是必修

课程亮点里专门提到「围绕 WebShell 核心知识点，逐步深入代码审计」，这一点值得单独说。很多人以为代码审计是渗透测试之外的另一个方向，其实不是。当你在靶场里面对一个自己写的、或者开源的小型 Web 应用时，能不能看懂那段上传逻辑为什么有漏洞、那段过滤为什么能被绕过，直接决定你是靠工具碰运气还是靠理解拿权限。

这门课把代码审计放在 WebShell 这条线里讲，是很务实的安排。它不是让你去啃几万行的框架源码，而是让你对着靶场里那段有问题的代码，搞清楚输入怎么进来、过滤怎么失效、执行怎么发生。这个能力练出来，你在 CTF 或者职业技能大赛里会明显不一样。

练完应该能回答的几个问题

• 给你一台陌生靶机，你的信息收集清单里有哪些固定动作？哪些信息决定了你接下来走哪条路？
• WebShell 从上传到可用，中间可能被哪些机制拦住？每一种你打算怎么试？
• 拿到一个低权限 Shell 后，你会先看哪些文件、哪些配置，来判断提权方向？
• 面对一段上传功能代码，你能指出它哪里没有做校验，以及校验应该加在哪个位置吗？
• 如果一条路走不通，你判断「换思路」的依据是什么，而不是换工具重来一遍？

适合谁，不适合谁

如果你在准备 CTF、职业技能大赛，或者你是网络专业的学生，课上讲过一些概念但没真正在靶机上完整走过一遍，这门课的节奏是合适的。它不需要你有很深的 Linux 基础，课程也明确说了这一点，但你需要愿意在命令行里折腾，愿意卡住的时候去查而不是等答案。

如果你期待的是一门把每个漏洞原理从头讲一遍的课，那它可能不是。它的价值在于「串联」：把扫描、利用、WebShell、提权、代码审计这些点，用靶场实战连成一条能自己走通的线。看完之后，你应该能独立面对一台中等难度的靶机，而不是只会跟着 writeup 复现。

缺什么补什么，别假装什么都会。先对着上面那五个问题自测一下，答不上来的，就是这门课要给你的东西。