如果你打开招聘网站看安全岗位的 JD，会发现一个尴尬的现实：大部分要求写着「熟悉 OWASP Top 10」「会用 Burp Suite」，但真到面试时，问的是 SQL 注入绕 WAF 的几种变形、越权漏洞怎么在代码层定位、Nessus 扫出来的高危项怎么判断是真漏洞还是误报。这些不是靠背概念能答上来的。
这门课的主题很明确：Web 安全。不是泛泛的「网络安全概论」，而是围绕 Web 场景把理论、工具、项目串起来。下面按「你可能缺什么」的角度拆一下，方便你判断要不要花时间。
缺的是「漏洞原理」还是「漏洞利用」
很多人看安全资料的习惯是先记名词：XSS、CSRF、SSRF、文件包含、反序列化。名词记住了，但被问到「同源策略到底拦住了什么、没拦住什么」就卡住。这门课在理论部分会把常见 Web 漏洞的成因、触发条件、利用链条讲通，而不是停留在「是什么」。
配套练习的方向是：给你一个存在漏洞的场景，你要能说出漏洞点在哪一行逻辑、构造出可复现的 payload、再想一步如果开发加了某个过滤条件，你的 payload 为什么会失效。能回答这个层面，面试里的「讲讲你挖过的漏洞」才有东西可讲。
工具不是会用就行，是知道什么时候不该用
Burp Suite、Nessus 这类工具，教程一搜一大把，但真正的坎在于：扫描器报出来的东西怎么筛。Nessus 扫出一屏高危，哪些是环境配置导致的假阳性，哪些是必须立刻处理的真实风险，判断依据是什么。
Burp 的 Repeater、Intruder、Scanner 各自适合什么场景，抓包改包时哪些字段动了会触发服务端校验、哪些动了没用，这些都是练出来的。这门课的工具部分会结合具体漏洞场景来讲，而不是单独开一节「Burp 界面介绍」。
项目部分要解决的是「没有实战经历」
转岗的人最常被卡的一句话是「你有没有实际做过」。课程里带项目，意义不在于项目本身多复杂，而在于你能不能在项目里走完一遍完整流程：信息收集 → 攻击面梳理 → 漏洞验证 → 风险定级 → 给出修复建议。
这套流程走顺了，你简历上写的就不再是「了解常见漏洞」，而是「在某类场景下独立完成过从发现到验证的过程」。差别很大。
看完你应该能回答的问题
- 一个登录接口，怎么判断它有没有撞库风险、有没有越权可能？
- Burp 抓到的请求，改哪个参数最可能出问题，为什么？
- 扫描器报了一个「SQL 注入」，你用什么方法快速确认它是真是假？
- 发现一个 XSS，怎么判断它是反射型还是存储型，修复该从哪一层入手？
- 同一类漏洞，在 Java 和 PHP 项目里表现和利用方式有什么不同？
这几个问题如果你现在答不全，课程内容对你是补缺；如果大部分能答，说明你缺的可能是项目经验而不是知识点，重点放在项目部分即可。
怎么用这门课
建议不要从头顺播。先挑自己最薄弱的一块：漏洞原理不清楚就先啃理论，工具不熟就直接进工具章节边看边在靶场里复现，缺项目经历就从项目部分倒推需要补的知识点。每看完一节，合上视频自己复述一遍漏洞的成因和利用条件，复述不出来就回去再看。
安全这个方向，看懂和会做之间差着一整个练习量。这门课给的是框架和场景，真正的熟练度还得靠你自己在靶场和环境里反复试。
网易云课堂微专业安全工程师网易安全部门打造：理论+工具+项目全覆盖
课程详情
课程详情
网易云课堂微专业安全工程师课程由网易安全部门打造，旨在通过理论、工具和项目全覆盖的教学模式，培养具备扎实安全知识的Web安全专家。
适合人群
- 对网络安全感兴趣，希望从事网络安全相关工作的专业人士
- 希望提升Web安全技能的IT从业者
- 网络安全爱好者
学习收获
- 掌握Web安全基础知识，包括安全协议、安全漏洞等
- 熟练使用Burp Suite、Nessus等安全工具
- 具备实际项目经验，能够解决Web安全问题
- 了解安全行业发展趋势，为职业发展打下坚实基础
课程亮点
- 理论+工具+项目全覆盖，实战性强
- 网易安全部门专家授课，保证课程质量
- 提供丰富的实践项目，提升实战能力
- 配备专业辅导，解答学习过程中的疑问
课程目录
00 延伸学习
01 答疑直播
01 专题一 网络与系统安全
01 第0章 微专业导学
01 0.0.1《安全工程师》前置课
02 0.0.1附件.html
02 0.0.1附件.rar
03 学习拓展.html
02 第1章 课程导学
01 专题一资料合集.html
02 1.1.1 网络与系统安全导学
03 学习拓展.html
03 第2章 网络基础知识
01 1.2.1 网络模型介绍
02 学习拓展.html
03 1.2.2 IP地址介绍
04 学习拓展.html
05 1.2.3 主机端口介绍
06 学习拓展.html
04 第3章 网络抓包分析
01 1.3.1 wireshark抓包
02 学习拓展.html
03 1.3.2 tcpdump抓包
04 学习拓展.html
05 1.3.3 数据包分析
06 学习拓展.html
05 第4章 网络发包测试
01 1.4.1 hping发包
02 学习拓展.html
03 1.4.2 apachebench发包
04 学习拓展.html
05 1.4.3 僵尸网络搭建
06 学习拓展.html
06 第5章 DDoS攻击分类
01 1.5.1 DDoS概念介绍
02 学习拓展.html
03 1.5.2 TCP攻击原理和实践
04 学习拓展.html
05 1.5.3 UDP攻击原理和实践
06 学习拓展.html
07 1.5.4 CC攻击原理和实践
08 学习拓展.html
07 第6章 主机端口扫描
01 1.6.1 网络空间搜索平台
02 学习拓展.html
03 1.6.2 端口扫描工具
04 学习拓展.html
05 1.6.3 常见端口漏洞
06 学习拓展.html
08 第7章 内网渗透
01 1.7.1 内网介绍
02 1.7.2 权限提升介绍
03 1.7.3 windows权限提升实战
04 1.7.4 linux权限提升实战
05 1.7.5 权限维持
06 1.7.6 端口转发
07 1.7.7 内网横向移动
02 专题二 Web安全
01 第1章 课程导学
01 第二专题资料合集.html
02 2.1.1 web安全课程导学
02 第2章 web安全基础
01 2.2.1 web安全前端开发基础
02 2.2.2 web安全后端开发基础
03 2.2.3 web代理抓包
03 第3章 web安全漏洞（一）
01 2.3.1 URL跳转
02 2.3.2 XSS
03 2.3.3 csrf
04 2.3.4 文件包含
05 2.3.5 文件上传
06 2.3.6 sql注入
07 2.3.7 命令&代码执行
04 第4章 web安全工具
01 2.4.1 搜索引擎使用
02 2.4.2 sqlmap使用
03 2.4.3-burpsuite使用
04 2.4.4 xss平台使用
05 2.4.5 dnslog平台使用
06 2.4.6 webshell管理工具使用
05 第5章 web安全漏洞（二）
01 2.5.1 ssrf
02 2.5.2 xxe
03 2.5.3 越权
04 2.5.4 未授权访问
05 2.5.5 数据劫持
06 2.5.6 条件竞争
06 第6章 web安全实战
01 2.6.1 子域名信息收集
02 2.6.2 站点信息收集
03 2.6.3 敏感目录文件扫描
04 2.6.4 web漏洞扫描
05 2.6.5 暴力破解
06 2.6.6 bypass
07 2.6.7 漏洞综合利用
03 专题三 移动安全
01 第1章 课程导学
01 专题三资料汇总.html
02 3.1.1 课程导学
02 第2章 Android安全环境
01 3.2.1 Android安全测试环境搭建
03 第3章 APK安全基础
01 3.3.1 APK安全测试工具
02 3.3.2 APK文件格式以及代码
03 3.3.3 Smali基础与实践
04 3.3.4 So文件基础与实践
05 3.3.5 so文件实战
06 3.3.6 动态调试静态分析
04 第4章 Andorid常见漏洞
01 3.4.1 Andorid常见漏洞-1
02 3.4.2 Android常见漏洞-2_1
03 3.4.3 DIVA安全实战
05 第5章Android Hook工具基础
01 3.5.1 Xposed使用以及实践目
02 3.5.2 Frida使用以及实践
03 3.5.3 Hook实践
06 第6章 Android安全综合应用
01 3.6.1 综合应用
04 专题四 业务安全
01 第1章 课程导学
01 4.1.1 课程导学
02 专题四 附件汇总.html
02 第2章 账号体系安全
01 4.2.1 账号体系安全介绍
02 4.2.2 账号应用安全漏斗1
03 4.2.3 帐号应用安全漏洞2
04 4.2.4 帐号应用安全漏洞3
05 帐号应用安全漏洞3-实操
06 4.2.5 帐号应用安全漏洞4
07 4.2.6 帐号应用安全漏洞5
08 4.2.7 帐号应用安全漏洞6
09 4.2.8 帐号业务安全风险和攻防对抗
03 第3章交易和支付体系安全
01 4.3.1 交易和支付体系安全风险介绍
02 4.3.2 交易和支付安全应用漏洞1
03 4.3.3 交易和支付安全应用漏洞2
04 4.3.4 交易与支付安全业务风险1
05 4.3.5 交易和支付安全业务风险2
04 第4章活动安全
01 4.4.1 活动安全风险介绍
02 4.4.2 活动安全风险1
03 4.4.3 活动安全风险2
05 第5章内容安全
01 4.5.1 内容安全风险介绍
02 4.5.2 内容安全漏洞
03 4.5.3 内容安全风险
06 第6章如何做好业务安全保障
01 4.6.1 应用漏洞防护和对抗
02 4.6.2 业务安全对抗和发展
05 专题五 开发安全
01 第1章课程导学
01 5.1.1导学
02 专题五资料合集.html
02 第2章 代码安全审计
01 5.2.1 java安全基础介绍
02 5.2.2 java审计环境搭建
03 5.2.3 XSS漏洞审计
04 5.2.4 SQL注入漏洞审计
05 5.2.5 URL输入类漏洞审计
06 5.2.6 命令执行漏洞审计
07 5.2.7 XXE漏洞审计
08 5.2.8 文件类审计
09 5.2.9 访问控制与认证
10 5.2.10 rmi反序列化原理分析
11 5.2.11 第三方反序列化漏洞分析
03 第3章 java代码安全实践
01 5.3.1 白盒扫描之依赖库扫描
02 5.3.2 白盒扫描之fortify使用
03 5.3.3 Java Web审计思路
04 5.3.4 java Web应用安全综合运用
06 专题六 安全运维
01 第1章课程导学
01 6.1.1 课程导学
02 资料汇总.html
02 第2章 抗D
01 6.2.1 抗D背景介绍
02 6.2.2 互联网公司抗D系统应用
03 6.2.3 高防防御系统应用
04 6.2.4 抗D实验
03 第3章 防火墙
01 6.3.1 防火墙介绍
02 6.3.2 防火墙实验
04 第4章Web应用防护
01 6.4.1 waf介绍
02 6.4.2 waf实验
05 第5章虚拟专用网络
01 6.5.1 VPN介绍
02 6.5.2 vpn实验
06 第6章入侵检测
01 6.6.1ids&ips介绍
02 6.6.2互联网公司hids应用
03 6.6.3osquery搭建实践
07 第7章堡垒机
01 6.7.1 堡垒机介绍
02 6.7.2 堡垒机实验
08 第8章DLP
01 6.8.1DLP介绍
02 6.8.2 企业DLP防护建设
07 专题七 安全合规
01 第1章 课程导学
01 7.1.1 安全合规导学
02 第2章企业安全合规
01 7.2.1 企业安全合规指南
02 7.2.2 网络安全合规
03 7.2.3 数据与内容安全合规
03 第3章 网络安全等级保护
01 7.3.1 网络安全等级保护指南
02 7.3.2 网络安全等级保护测评要求内容一
03 7.3.3网络安全等级保护测评要求内容二
08 专题八 安全竞赛
01 第1章课程导学
01 8.1.1安全竞赛导学
02 第2章 CTF介绍
01 8.2.1CTF介绍
03 第3章Web 网络攻防
01 8.3.1-sql注入题目实战
02 8.3.2 xss题目实战
03 8.3.3 文件上传题目实战
04 8.3.4 逻辑漏洞题目实战
04 第4章Mobile 移动安全
01 8.4.1 逆向分析题目实战
02 逆向分析题目相关材料.html
02 逆向分析题目相关材料.rar
03 8.4.2 算法破解题目实战
04 算法破解题目实战材料.html
04 算法破解题目实战材料.rar
05 第5章 Misc 安全杂项
01 8.5.1 信息收集题目实战
02 8.5.2 流量分析题目实战
03 8.5.3 日志分析题目实战
04 8.5.4 图片隐写题目实战
05 8.5.5 编码转换题目实战
06 第6章 Crypto 密码攻击
01 8.6.1 密码学介绍
02 8.6.2 古典密码题目实战
03 8.6.3 现代密码题目实战
课件资料
课件资料
