君子坦荡荡

  博客园  :: 首页  :: 新随笔  ::  ::  :: 管理
白帽子成长之路 (2019.2.6)

白帽子成长之路

本人学习之路的总结，会不定时更新

方向

  • web安全
  • 渗透测试
  • 无线安全
  • 漏洞挖掘
  • 代码审计
  • 安卓/ios安全
  • 逆向
  • 密码学
  • linux内核
  • LoT安全

就业(参考)

  • 渗透测试工程师 10k-30k/月
  • 高级渗透测试工程师 30k-50k/月
  • 代码审计师 10k-40k/月
  • 高级代码审计师 30k-50k/月
  • 漏洞挖掘工程师 10k-40k/月
  • 高级漏洞挖掘工程师 40k-100k/月
  • loT安全工程师 10k-50k/月

要求(按照从前至后难度增加)

根据自己学习的微方向，学习精通几点就很棒了。由此来看，要学习的蛮多的。

  • 精通C语言、Python语言
  • 精通渗透测试步骤、方法、流程，具备独立开展渗透工作的能力
  • 熟练掌握web安全和漏洞挖掘，熟悉漏洞的原理、方法、利用手段及解决方案
  • 熟悉代码安全审计(php/asp/jsp/python)
  • 了解采用PHP/JAVA/ASP等语言开发的程序代码中缺陷和安全漏洞
  • 熟练掌握主流源代码审计工具，如Checkmarx CxEnterprise、Armorize CodeSecure、Fortify SCA、RIPS等
  • 熟悉web安全漏洞分析与防范，包括SQL注入、XSS、CSRF、LFI等OWASP TOP 10安全风险
  • 至少掌握python/ruby/perl/php等两门脚本语言
  • 熟悉常用的储存技术，如MySQL、Redis、PostgreSQL等
  • 拥有数据清洗，爬虫开发经验
  • 熟悉Tornado、Django、Flask等框架，并能快速使用构建web
  • 至少掌握C/C++/GO/Delphi等两门编程语言
  • 精通二进制漏洞挖掘、拥有漏洞挖掘的实战经验
  • 精通Windows、Linux操作系统
  • 熟练使用Linux进行开发和部署
  • 精通多架构(X86/X64/ARM/MIPS等)
  • 熟悉常见文件格式及网络协议，并有定制FUZZ工具的经验
  • 有漏洞挖掘经验或获取CVE(CNVD、CNNVD)编号；有相关文章，出版书籍者优先
  • 熟悉使用Linux下各类IDE/Vim及Git等版本控制工具
  • 独立或合作开发过安全相关公具、平台、项目者；在t00ls、freebuf、Seebug、exploitdb.com等网站发布过漏洞、文章者优先。

各个方向简介

渗透测试

  • 什么是渗透测试
    黑客渗透测试入门方法论：侦察->扫描：端口扫描，漏洞扫描->漏洞利用->漏洞利用后措施和维持访问
    刚开始学习时，理解漏洞扫描器的使用很重要。因为它们能够帮助你举一反三，了解漏洞的形式。高级渗透测试者很少使用漏洞扫描器。

方法

方向明确，善于查找资料，有记笔记写blog的习惯，学习新知识之后立马实践，并不断练习巩固。

  • 关注大牛blog，跟着大牛blog记录的学习历程来学，不失为一个好方法。推荐一个大牛的blog站：https://uknowsec.cn

实践

自己搭建渗透环境

环境建议都自己尝试去搭建一下

在linux系统中安装lanmp #其实apace 和nginx安装一个就行了。
在windows系统中安装wamp
搭建dvwa漏洞
搭建sql注入平台
搭建xss平台
  • 学习利用docker镜像中现有的渗透环境
  • 学习vm or vrtualbox的使用
  • 学会在vulnhub上面下载现成的漏洞靶机到本地搭建。

利用现有的学习平台

  • 墨者学院
  • 实验吧
  • bugku
  • hackthebox #这个需要能访问google

CTF资料

推荐书籍

web类

  • web安全攻防渗透测试实践指南
  • web系统安全攻防

渗透测试类

  • Metasploit 渗透测试指南
  • Metasploit 渗透测试魔鬼训练营
  • 渗透测试实践指南之必知必会的工具与方法

无线安全类

漏洞挖掘类

代码审计类

Linux类

  • 鸟哥的Linux私房菜

推荐学习资源

  • gitbub上面的 awesome hacking #上面有很多方向工具集及学习资料。

论坛

学习站点

  • FreeBuf(国内外安全资讯，技术文章) #FreeBuf的专栏是个好东西
  • Seebug漏洞平台
  • secwiki 周刊
  • 建议使用twitter，关注一些国外大牛的twitter，能学到东西的。

漏洞平台

企业SRC (挖漏洞赚赏金的地方)

posted on 2018-11-20 22:01  hudunSec  阅读(1030)  评论(0)  编辑  收藏  举报