web安全工程師

web安全工程師是信息安全領域的一個職位，它負責對公司網站、業務系統進行安全評估測試；對公司各類系統進行安全加固；對公司安全事件進行回響，清理後門，根據日誌分析攻擊途徑；安全技術研究，包括安全防範技術，黑客技術等；跟蹤最新漏洞信息，進行業務產品的安全檢查。

基本介紹

• 中文名：Web安全工程師

工程師技能表

一、Web安全相關概念

熟悉基本概念(SQL注入、上傳、XSS、CSRF、一句話木馬等)。

通過關鍵字(SQL注入、上傳、XSS、CSRF、一句話木馬等)進行Google/SecWiki;

閱讀《精通腳本黑客》，雖然很舊也有錯誤，但是入門還是可以的;

看一些滲透筆記/視頻，了解滲透實戰的整個過程，可以Google(滲透筆記、滲透過程、入侵過程等);

二、熟悉滲透相關工具

熟悉AWVS、sqlmap、Burp、nessus、chopper、nmap、Appscan等相關工具的使用。

了解該類工具的用途和使用場景，先用軟體名字Google/SecWiki;

下載無後門版的這些軟體進行安裝;

學習並進行使用，具體教材可以在SecWiki上搜尋，例如：Brup的教程、sqlmap;

待常用的這幾個軟體都學會了可以安裝音速啟動做一個滲透工具箱;

三、滲透實戰操作

掌握滲透的整個階段並能夠獨立滲透小型站點。

網上找滲透視頻看並思考其中的思路和原理，關鍵字(滲透、SQL注入視頻、檔案上傳入侵、資料庫備份、dedecms漏洞利用等等);

自己找站點/搭建測試環境進行測試，記住請隱藏好你自己;

思考滲透主要分為幾個階段，每個階段需要做那些工作，例如這個：PTES滲透測試執行標準;

研究SQL注入的種類、注入原理、手動注入技巧;

研究檔案上傳的原理，如何進行截斷、雙重後綴欺騙(IIS、PHP)、解析漏洞利用(IIS、Nignix、Apache)等，參照：上傳攻擊框架;

研究XSS形成的原理和種類，具體學習方法可以Google/SecWiki，可以參考：XSS;

研究Windows/Linux提權的方法和具體使用，可以參考：提權;

可以參考:開源滲透測試脆弱系統;

四、關注安全圈動態

關注安全圈的最新漏洞、安全事件與技術文章。

通過SecWiki瀏覽每日的安全技術文章/事件;

通過Weibo/twitter關注安全圈的從業人員(遇到大牛的關注或者好友果斷關注)，天天抽時間刷一下;

通過feedly/鮮果訂閱國內外安全技術部落格(不要僅限於國內，平時多注意積累)，沒有訂閱源的可以看一下SecWiki的聚合欄目;

養成習慣，每天主動提交安全技術文章連結到SecWiki進行積澱;

多關注下最新漏洞列表，推薦幾個：exploit-db、CVE中文庫、Wooyun等，遇到公開的漏洞都去實踐下。

關注國內國際上的安全會議的議題或者錄像，推薦SecWiki-Conference。

五、熟悉Windows/Kali Linux

學習Windows/Kali Linux基本命令、常用工具;

熟悉Windows下的常用的cmd命令，例如：ipconfig,nslookup,tracert,net,tasklist,taskkill等;

熟悉Linux下的常用命令，例如：ifconfig,ls,cp,mv,vi,wget,service,sudo等;

熟悉Kali Linux系統下的常用工具，可以參考SecWiki,《Web Penetration Testing with Kali Linux》、《Hacking with Kali》等;

熟悉metasploit工具，可以參考SecWiki、《Metasploit滲透測試指南》。

六、伺服器安全配置

學習伺服器環境配置，並能通過思考發現配置存在的安全問題。

Windows2003/2008環境下的IIS配置，特別注意配置安全和運行許可權，可以參考：SecWiki-配置;

Linux環境下的LAMP的安全配置，主要考慮運行許可權、跨目錄、資料夾許可權等，可以參考：SecWiki-配置;

遠程系統加固，限制用戶名和口令登入，通過iptables限制連線埠;

配置軟體Waf加強系統安全，在伺服器配置mod_security等系統，參見SecWiki-ModSecurity;

通過Nessus軟體對配置環境進行安全檢測，發現未知安全威脅。

七、腳本編程學習

選擇腳本語言Perl/Python/PHP/Go/Java中的一種，對常用庫進行編程學習。

搭建開發環境和選擇IDE，PHP環境推薦Wamp和XAMPP，IDE強烈推薦Sublime，一些Sublime的技巧：SecWiki-Sublime;

Python編程學習，學習內容包含：語法、正則、檔案、網路、多執行緒等常用庫，推薦《Python核心編程》，不要看完;

用Python編寫漏洞的exp，然後寫一個簡單的網路爬蟲，可參見SecWiki-爬蟲、視頻;

PHP基本語法學習並書寫一個簡單的部落格系統，參見《PHP與MySQL程式設計(第4版)》、視頻;

熟悉MVC架構，並試著學習一個PHP框架或者Python框架(可選);

了解Bootstrap的布局或者CSS，可以參考：SecWiki-Bootstrap;

八、源碼審計與漏洞分析

能獨立分析腳本源碼程式並發現安全問題。

熟悉源碼審計的動態和靜態方法，並知道如何去分析程式，參見SecWiki-審計;

從Wooyun上尋找開源程式的漏洞進行分析並試著自己分析;

了解Web漏洞的形成原因，然後通過關鍵字進行查找分析，參見SecWiki-代碼審計、高級PHP應用程式漏洞審核技術;

研究Web漏洞形成原理和如何從源碼層面避免該類漏洞，並整理成checklist。

九、安全體系設計與開發

能建立自己的安全體系，並能提出一些安全建議或者系統架構。

開發一些實用的安全小工具並開源，體現個人實力;

建立自己的安全體系，對公司安全有自己的一些認識和見解;

提出或者加入大型安全系統的架構或者開發;

看自己發展咯~

崗位概覽

Web安全工程師、系統安全工程師、滲透測試工程師、網路安全工程師、攻防研究工程師