很多人学Web安全，卡在一个很尴尬的位置：漏洞名字都听过，SQL注入、XSS、CSRF、文件包含，张口就能报一串，但真给一个站，不知道从哪下手；工具装了一堆，BurpSuite打开只会点Proxy和Repeater，sqlmap跑完也不知道它到底干了什么。这门课针对的就是这种"名词会、手上不会"的状态。它不讲空泛的安全意识，而是从协议、数据库、前后端语言这些底层东西出发，把注入类漏洞从判断、利用到绕过的完整链路拆开，再延伸到XSS、CSRF、访问控制、组件安全等方向。如果你之前靠零散的文章拼凑知识，看完会发现很多"玄学"其实都有明确的原理支撑。
这门课到底解决什么问题
第一个要解决的问题是"知其然不知其所以然"。很多教程讲SQL注入，上来就是单引号报错、and 1=1，但为什么是单引号、报错信息为什么能带出数据、数据库到底怎么解析这条语句，全靠死记。这门课专门有后端基础和协议视角的章节，从数据库的基本概念讲起，再从GET、POST两种请求方式切入分析注入的成因和防御。把这条线走通之后，你再看任何注入点，脑子里是有数据流的，而不是背payload。
第二个问题是"遇到防护就束手无策"。真实环境里现在很少给你一个干干净净的注入点，WAF在前面拦着，空格被过滤、等号被过滤、union和where被关键字拦截，甚至页面既不报错也不回显。课程里用了相当多的篇幅讲绕过：空格和等号的替换思路、双写、双重编码、union与where与limit的过滤绕过，以及从数据库底层编码角度切入的注入方式。这些内容不是给你一堆payload抄，而是让你理解过滤逻辑本身有什么盲区，这样才能在遇到新规则时自己推。
第三个问题是"不会判断也不会收尾"。判断注入点、区分注入类型、在无报错无回显场景下用时间盲注、用OOB带外通道把数据传出来，这些是实战里真正决定能不能拿到结果的关键环节。找到漏洞只是开始，后面的权限维持、后门功能、免杀、自动化工具组合使用，课程也都有涉及。它想让你走完的是从发现到验证的完整闭环，而不是停在"我猜这里有洞"。
适合什么基础的人看
如果你完全没写过代码，直接看注入实战部分会比较吃力，因为课程默认你能看懂HTTP请求响应的结构、大概知道服务端怎么处理参数。好在它有前端和后端基础的章节，HTML、数据库基本概念、用一个简单Web应用讲清网站运作原理，这些是给你补底的。建议的做法是先把这几节过一遍，确认自己能说清"浏览器发一个请求到服务器返回页面，中间经过哪些环节"，再进入漏洞部分。
如果你已经会一点开发，比如写过PHP或者Python的小项目，那看这门课会顺畅很多。因为课程里大量内容是在讲代码层面的问题，预编译为什么能防注入、伪协议和编码绕过为什么成立、PHP安全编码要注意什么，有开发经验的人理解起来是降维的。运维方向的同学同样适合，Nginx、Apache、Tomcat的安全专题，配合CVE案例分析，能补上你在中间件加固上的盲区。
需要提醒的是，这门课偏原理和实战思路，不是那种"三分钟教会你用某个工具"的速成内容。你要有耐心跟着敲一遍环境，哪怕只是在本机搭一个测试靶场，也比纯看视频强得多。
建议先看哪几块
如果时间有限、想快速建立框架，建议的顺序是：先看课程介绍和常见Web漏洞概览，建立一张漏洞地图；然后补前端基础、后端数据库基础、用简单Web应用理解运作原理；接着进入协议视角看注入，把GET型和POST型注入的成因和防御搞清楚。这一步做完，你已经有能力理解后面所有注入实战在干什么了。工具部分不要跳过，BurpSuite、cURL、Postman这三个是贯穿全课的基础设施，越早熟悉越好。
接下来再按主题推进。注入方向可以顺着SQL注入主线走，从判断注入点和防御方式开始，到报错注入、时间盲注、堆叠注入、OOB注入，再到WAF绕过的各种手法和自动化工具组合，最后看NoSQL注入和SQL注入防御原理。这条线走完，注入这一大类基本就通了。XSS方向单独成线，反射型XSS的原理和防御是基础，模板注入和HTML5新标签的安全分析属于进阶，配合CSRF到XSS这类议题追踪，能让你理解漏洞之间是怎么串联的。
组件和中间件安全可以放在后面作为专题突破，Nginx、Apache、Tomcat各自的历史漏洞案例，重点不在记住CVE编号，而在理解这类漏洞的成因模式。最后是防御侧的内容，认证与会话管理、访问控制中的水平和垂直权限、用户隐私保护、漏洞修补流程，这几块是让你从"会打"转向"会防"的关键，也是很多只学攻击的人最容易漏掉的部分。
学完能独立做什么
最直接的一点，你能独立对一个授权测试的目标做注入类漏洞的完整验证：判断是否存在注入点、识别注入类型、在有无回显的不同场景下分别选择合适的手法、遇到过滤规则时尝试绕过、最后把结果清晰地记录下来。这个能力不是靠背payload得来的，而是你知道每一步为什么这么做，出问题时有排查方向。
其次，你能读懂并复现常见的Web漏洞利用过程，对XSS、CSRF、文件包含、命令执行这些有实际动手经验，而不是停留在概念层面。看到一篇漏洞分析文章，你能自己搭环境跟一遍，遇到卡点知道去查协议细节或代码逻辑，而不是干等别人出教程。
再往上，你能参与到安全防御的讨论中。知道预编译为什么有效、认证与会话管理该怎么做、水平和垂直权限问题出在哪、漏洞修补应该遵循什么流程。这意味着你在团队里不只是一个"报漏洞的人"，而是能对修复方案提出具体意见的角色。对于想从开发或运维转安全方向的人来说，这个转变很关键。
资料怎么配合练习
看这类课程最大的坑是"看完就忘"，因为它信息密度高、实战细节多，光靠眼睛过一遍留不下东西。建议的做法是按主题建笔记，每个漏洞记录三件事：成因是什么、怎么验证、怎么防。比如SQL注入，成因写清数据流从参数到SQL语句的拼接过程，验证写清从判断到取数的步骤，防御写清预编译的原理和边界。这样整理一遍，比反复看视频有效得多。
练习环境一定要有。可以在本机搭靶场，也可以用自己写的测试项目，关键是能真实地发出请求、看到响应、改参数观察变化。工具部分建议边看边开，BurpSuite抓包改包、sqlmap跑一遍看它输出什么、Postman构造请求，这些操作做过一次，印象比看十遍都深。遇到课程里讲WAF绕过的部分，可以自己写几条简单的过滤规则，然后想办法绕过去，这种对抗式的练习对理解过滤盲区特别有用。
最后建议给自己留出复盘的时间。每学完一个方向，问自己几个问题：这个漏洞在什么场景下最容易出现？如果我是开发，怎么从代码层面避免？如果我是防守方，怎么在流量层面发现它？能把这三个问题答上来，说明这块内容你真的吃进去了。带着这些答案再回头看后面的防御章节，你会发现攻和防本来就是一件事的两面。
课程目录
37丨SQL注入实战：如何绕过WAF之空格、等号、双写、双重编码绕过【更多精选‖公众号：CunWorknotes】 .mp4 [23.0 MB] 29丨SQL注入实战：游离在常规分类外的OOB注入.mp4 [27.5 MB] 21丨从协议视角看注入：POST型注入攻击及防御.mp4 [40.9 MB] 38丨SQL注入实战：如何绕过WAF之数据库底层编码注入攻击【持续更新‖免费提供：CunworknoteS】.mp4 [25.2 MB] 82丨Nginx安全专题 - CVE-2017-7529【持续更新‖免费提供：CunworknoteS】.mp4 [95.5 MB] 80丨Apache 安全专题 - CVE-2017-15715.mp4 [64.1 MB] 24丨SQL注入实战：利用时间盲注绕过无报错无回显场景【公重号：CunWorkNotes】.mp4 [46.6 MB] 31丨SQL注入实战：OOB注入之环境准备.mp4 [22.6 MB] 22丨SQL注入实战：判断SQL注入点&防御方式.mp4 [54.3 MB] 52丨SQL注入实战：欣赏优秀的Web后门之免杀【公重号：CunWorkNotes】.mp4 [25.7 MB] 20丨从协议视角看注入：GET型注入攻击及防御.mp4 [44.0 MB] 17丨Web安全后端基础：数据库的基本概念.mp4 [9.9 MB] 50丨SQL注入实战：自动化注入攻击之FuzzDB+Burp组合拳.mp4 [40.5 MB] 09丨Web渗透工具入门：BurpSuite、cURL、Postman.mp4 [20.9 MB] 97丨如何做好认证与会话管理？.mp4 [135.1 MB] 53丨SQL注入实战：面向NoSQL数据库的注入攻击【优质资源‖关注：cunWorkNotes 解锁】.mp4 [25.3 MB] 08丨常见的Web安全漏洞都有哪些？【优质资源‖关注：cunWorkNotes 解锁】.mp4 [6.2 MB] 76丨BlackHat议题追踪：XSS的危害不够大？ - CSRF到XSS【更多精选‖公众号：CunWorknotes】 .mp4 [75.1 MB] 98丨访问控制：水平权限&垂直权限.mp4 [87.3 MB] 51丨SQL注入实战：欣赏优秀的Web后门之核心功能【公重号：CunWorkNotes】.mp4 [33.2 MB] 01丨课程介绍.mp4 [62.8 MB] 30丨SQL注入实战：浅谈OOB注入原理.mp4 [26.7 MB] 03丨Web安全前端基础：HTML【优质资源‖关注：cunWorkNotes 解锁】.mp4 [28.8 MB] 49丨SQL注入实战：玩转sqlmap之实战脱库.mp4 [30.5 MB] 83丨Tomcat安全专题【公重号：CunWorkNotes】.mp4 [102.4 MB] 54丨SQL注入实战：浅谈SQL注入防御方式及原理之预编译.mp4 [22.2 MB] 104丨漏洞修补应当遵循怎样的流程？【持续更新‖免费提供：CunworknoteS】.mp4 [88.8 MB] 63丨伪协议与编码绕过.mp4 [28.6 MB] 72丨XSS之模板注入 - 模板引擎与XSS的关系.mp4 [63.4 MB] 35丨SQL注入实战：如何绕过WAF之union、where、limit过滤绕过.mp4 [22.1 MB] 40丨SQL注入实战：激动人心的命令执行.mp4 [31.0 MB] 88丨PHP安全专题：浅谈PHP安全编码.mp4 [75.1 MB] 101丨如何做好用户隐私保护？——用户体验及产品设计视角.mp4 [72.8 MB] 44丨SQL注入实战：玩转Linux权限管理之文件权限.mp4 [70.4 MB] 27丨SQL注入实战：实施报错注入攻击.mp4 [17.2 MB] 46丨SQL注入实战：玩转sqlmap之携带cookie.mp4 [17.4 MB] 60丨反射型XSS漏洞原理、案例及防御措施.mp4 [32.6 MB] 28丨SQL注入实战：威力巨大的堆叠注入.mp4 [37.1 MB] 05丨探究网站的运作原理：用Python写一个简单的WebApp.mp4 [19.7 MB] 69丨HTML5新标签及相应的安全分析（一）.mp4 [78.1 MB] 61丨存储型XSS漏洞原理、案例及防御措施.mp4 [40.0 MB] 73丨XSS之模板注入 - 经典注入手法.mp4 [92.3 MB] 26丨SQL注入实战：利用数据库的bug进行报错注入.mp4 [55.8 MB] 100丨如何做好用户隐私保护？——开发者视角.mp4 [114.0 MB] 资料.txt [48.0 B] 23丨宏观视角看注入：5种不同的SQL注入类型.mp4 [32.2 MB] 81丨Nginx安全专题 - CRLF注入攻击.mp4 [85.0 MB] 77丨BlackHat议题追踪：XSS的危害不够大？ - XSS到RCE.mp4 [54.3 MB] 86丨PHP安全专题：学习黑魔法函数87丨PHP安全专题：序列化及反序列化漏洞.mp4 [184.4 MB] 39丨SQL注入实战：如何绕过WAF之二次注入攻击.mp4 [23.3 MB] 33丨SQL注入实战：实施OOB注入攻击.mp4 [18.6 MB] 89丨Java Web安全专题：Java Web基础.mp4 [77.8 MB] 47丨SQL注入实战：玩转sqlmap之通过level设定检测深度.mp4 [77.0 MB] 105丨如何建立安全监控规范？.mp4 [56.4 MB] 71丨XSS之模板注入 - 初探Node.js模板引擎.mp4 [70.9 MB] 59丨Spring框架安全攻击和防御 - CVE-2017-8046分析.mp4 [23.4 MB] 84丨PHP安全专题：了解PHP环境.mp4 [72.6 MB] 25丨SQL注入实战：隐蔽的HTTP头盲注.mp4 [33.8 MB] 62丨DOM型XSS漏洞原理、案例及防御措施.mp4 [31.4 MB] 74丨Javascript与RCE（远程代码执行）.mp4 [133.6 MB] 85丨PHP安全专题：远程（本地）文件包含.mp4 [59.5 MB] 02丨内容综述.mp4 [66.4 MB] 42丨SQL注入实战：UDF类型命令执行与交互.mp4 [67.5 MB] 99丨互联网公司运营安全、业务安全、业务逻辑安全策略规范.mp4 [101.9 MB] 79丨Apache安全专题 - 配置错误诱发的漏洞.mp4 [85.9 MB] 68丨XSS及CSRF综合利用案例分析：点击劫持.mp4 [74.1 MB] 55丨SQL注入实战：浅谈SQL注入防御方式及原理之过滤.mp4 [9.3 MB] 10丨Web渗透插件入门：Wappalyzer、HackBar.mp4 [12.7 MB] 75丨BlackHat议题追踪：XSS的危害不够大？ - 构造攻击链.mp4 [63.8 MB] 65丨XSS混淆编码.mp4 [112.6 MB] 91丨Node.js安全专题：Node.js基础.mp4 [79.4 MB] 90丨Java Web安全专题：浅谈代码审计思路.mp4 [55.7 MB] 95丨DDoS之协议层拒绝服务攻击：SYN泛洪、UDP泛洪、ICMP泛洪.mp4 [70.5 MB] 70丨HTML5新标签及相应的安全分析（二）.mp4 [81.3 MB] 48丨SQL注入实战：玩转sqlmap之读写server文件.mp4 [28.0 MB] 32丨SQL注入实战：OOB注入关键函数解析之load_file.mp4 [25.9 MB] 64丨XSS蠕虫实战案例分析.mp4 [29.8 MB] 94丨Node.js安全专题：Node.js漏洞审计.mp4 [81.0 MB] 19丨SQL注入漏洞的原理及其危害.mp4 [32.8 MB] 45丨SQL注入实战：自动化注入攻击之了解sqlmap.mp4 [13.9 MB] 106丨结束语.mp4 [135.7 MB] 18丨Web安全后端基础：极简MySQL入门.mp4 [17.7 MB] 13丨文件上传漏洞中阶：前端验证绕过、.htaccess绕过、大小写绕过.mp4 [66.0 MB] 06丨Web框架的运作原理：用Django快速搭建一个网站.mp4 [21.4 MB] 16丨文件上传漏洞：初探Fuzz.mp4 [29.1 MB] 102丨网络钓鱼防范：钓鱼网站、邮件钓鱼的防控.mp4 [148.2 MB] 12丨文件上传漏洞初阶：后缀名绕过&原理探究.mp4 [47.9 MB] 41丨SQL注入实战：webshell类型命令执行与交互.mp4 [38.2 MB] 92丨Node.js安全专题：Express及其组件.mp4 [87.7 MB] 66丨CSRF跨站请求伪造漏洞原理、攻击演练.mp4 [104.0 MB] 93丨Node.js安全专题：Node.js安全开发技术.mp4 [101.4 MB] 67丨同源策略及跨源访问.mp4 [54.5 MB] 11丨文件上传漏洞：漏洞原理&一句话木马.mp4 [62.1 MB] 07丨HTTP协议是怎么工作的？.mp4 [16.0 MB] 103丨怎样建立安全开发流程（SDL）？.mp4 [54.5 MB] 43丨SQL注入实战：玩转Linux权限管理之用户和组.mp4 [45.0 MB] 15丨文件上传漏洞：初探源码审计.mp4 [36.7 MB] 96丨DDoS之应用层拒绝服务攻击：Slowloris攻击、HTTPPostDoS.mp4 [58.0 MB] 56丨加密算法与随机数.mp4 [26.9 MB] 78丨SSRF服务端请求伪造.mp4 [80.2 MB]
