Web安全入门-CTF之Web安全系列课程（一）

很多人第一次打 CTF 的 Web 方向，卡住的地方往往不是「不会用工具」，而是连题目在问什么都没看懂：给了一个 URL，不知道从哪儿下手；打开页面是登录框，除了试弱密码想不出第二招；看到源码里一段 PHP，读得懂语法却判断不出哪里是漏洞。这门课解决的就是这段落差——它不急着教你拿 flag，而是先把 Web 这摊东西拆开，让你知道一个网站到底由哪些部分组成、哪些部分容易出问题。

先补的是「网站是怎么跑起来的」这一课

Web 安全的绝大多数漏洞，根源都在 HTTP 协议和浏览器与服务器之间的交互方式上。如果你对请求方法、状态码、Cookie 与 Session 的区别、GET 与 POST 的实际差异只有模糊印象，那么后面遇到 SQL 注入、文件包含、命令执行时，你只能靠背 payload 应付，题目稍微变一下就不会了。

这部分会带你走一遍完整链路：浏览器发出请求，服务器如何处理，返回的内容又经过哪些环节。重点不在背概念，而在于建立一种判断力——看到一个功能点，能大致猜到它的数据流向了哪里，哪里可能没有做校验。这正是后面所有 Web 题目的通用起手式。

自己搭一次站，比看十遍教程有用

只做题目、不碰环境，是初学者最容易走的弯路。你不知道 PHP 是怎么被解析的，不知道数据库和 Web 服务各自扮演什么角色，就很难理解为什么某个参数能拼进 SQL 语句里。

课程安排了亲手搭建网站的过程。搭站的意义不在于学会运维，而在于你能亲眼看到：一个页面从文件到可访问，中间配置了哪些东西；哪些目录本该被保护却暴露在外；数据库账号密码通常写在哪个文件里。当你自己踩过这些坑，再回头看题目中的信息泄露点，反应速度完全不一样。这部分配套的练习，就是把搭好的站点当作靶场，从外部视角重新审视自己刚配置的一切。

敏感信息：Web 题目最稳定的突破口

CTF 的 Web 题里，有相当一部分不需要复杂利用链，flag 就藏在开发人员「以为没人会看」的地方。备份文件、源码注释、版本控制目录、配置项、报错页面回显——这些统称为敏感信息泄露。它们单看都不算高深技术，但能不能发现，取决于你有没有形成固定的排查习惯。

这一块会带着你把这些位置逐个过一遍，并说明它们为什么会产生：是部署时忘了清理，还是框架默认行为，还是开发者图省事留下的调试开关。理解成因之后，你面对的就不再是一份「要记的清单」，而是一套可以迁移到新目标的检查思路。

看完之后，你应该能回答这些问题

• 给定一个陌生站点，你会按什么顺序去观察它？先看什么，后看什么？
• 一个参数从 URL 传到服务器再到数据库，中间可能被处理的环节有哪些？
• 看到页面报错信息时，哪些内容可能直接指向可利用的点？
• 为什么有些目录本该无法访问，实际却能被列出来？
• 搭建环境时你亲手配置的哪些选项，恰恰是真实站点常见的安全疏忽？

如果这些问题你现在答不完整，说明缺的正是这门课要补的基础。它适合两类人：一是准备参加 CTF 但 Web 方向还没入门、做题只会碰运气的选手；二是做开发或运维、想搞明白自己写的代码和配的服务到底哪里可能被利用的技术人员。不需要多深的编程功底，但需要你愿意动手把环境搭起来、把每个现象追到底，而不是看完就过。