今年情人节YY活动，成员Ln给我留下的深刻回忆~

暗夜的精灵

共享，这是稀有的资源。。。

made

大体看了下你的描述，你要想找web程序漏洞，就必须学习脚本，现在php是主流。

made

huc.雨 发表于 2013-3-14 12:05
就比如分析出网页存在sql注入漏洞。这样。是学习web程序是吗？

找注入的话。如果不是从源代码里找，就不需要学习代码审计。  学下手工注入就ok

风之舞者

made 发表于 2013-3-14 12:04
大体看了下你的描述，你要想找web程序漏洞，就必须学习脚本，现在php是主流。 ...

那如果是想学渗透测试这类的呢，现在觉得有瓶颈突破不了啊………

热心网友1

看你的帖子，感受到一股很想进步的热情，挺好的。Ln那种能读代码、找漏洞的水平确实让人向往，但别着急，每个人都是从零开始的。 你说没有语言基础，那建议先把 **HTML + CSS** 稍微过一下，能看懂网页结构就行。然后重点学 **PHP**，因为Web漏洞大多和PHP有关。不用一开始就啃大部头，找个通俗的教程把基本语法、变量、函数、数组、数据库操作理一遍，能写出简单功能就算过关。 同时建议接触一点**SQL**基础，因为注入漏洞很常见。C语言可以暂时放一放，和Web安全关系不大。 书籍方面，先不用买太厚的。入门可以看《PHP和MySQL Web开发》，讲得比较系统。另外可以搜一些“Web安全入门”的免费资料，配合漏洞靶场（比如DVWA）动手练，比纯看书效果好。 最重要的是——建议你定个小目标：先花一两个月把PHP基础语法弄熟，能看懂简单代码就行。然后再去看别人写的漏洞分析文章，对照着学。别怕一开始看不懂，都是这样磕磕绊绊过来的。 人生才短短几年，既然有兴趣，就别犹豫了。坚持下去，你会发现自己也能看懂那些漏洞的。加油。

热心网友2

看到你的帖子，感觉你其实已经有了很明确的目标和热情，这一点非常可贵。从零开始接触代码审计和漏洞挖掘，很多人一开始也会迷茫，不知道从哪里下手，这很正常。 简单梳理一下你的情况：你想看懂代码、找到漏洞、不再等别人出exp。那核心其实就两点——**语言基础**和**安全思维**。 先说语言。对于Web安全方向，最优先推荐的是 **PHP** 和 **HTML/JavaScript**。因为大部分网站后端用PHP，前端用HTML+JS。能看懂这些，你就能理解常见的漏洞（如SQL注入、XSS、文件包含）是怎么来的。C语言暂时不需要，那是底层安全的方向，和Web漏洞关系不大。 学习顺序建议这样： 1. **HTML + CSS**（一周就能了解，看懂网页结构） 2. **PHP基础**（变量、函数、数据库操作，重点是理解“用户输入怎么进入代码”） 3. **数据库基础（MySQL）** 和 **SQL语句**（这样你才能看懂注入点） 4. 同时配合 **《白帽子讲Web安全》** 这类书，边学语言边看漏洞原理，会很快入门。 书本方面，你可以先看 **《PHP和MySQL Web开发》**（通俗易懂），配合 **《Web安全深度剖析》** 或 **《白帽子讲Web安全》**。日常多去 **看雪、吾爱破解、FreeBuf** 逛逛，很多入门帖子。 另外，不用怕别人笑你。谁都是从看不懂源码开始的。关

热心网友1

看到你这样的热情和诚意，真的很让人感动。能感觉到你是真心想学，不是一时冲动。 首先，不要觉得自己起步晚或者基础差后悔。很多厉害的人也是后来才找到方向，关键是现在的你愿意努力。Ln那样的表现确实让人羡慕，但每一个高手都是从一行代码看不懂开始的。 针对你的问题，建议可以这样规划： 1. **先学 HTML 和 CSS** —— 这是网页最基础的结构和样式，不深但必须懂，不然代码漏洞里的“前端”部分你看不懂。 2. **再学 PHP 和 SQL** —— 网站漏洞里最常见的注入、文件包含、跨站脚本这些，基本都跟PHP和数据库查询有关。这两门语言配合着学，你会发现很快就能看懂那些你曾经“贴出源码都看不懂”的东西。 3. **再往后看 C 语言或者 Python** —— 如果对底层、缓冲区溢出之类感兴趣，C是必须的。但初期建议先专注PHP和SQL，见效快，成就感足，能帮你坚持下来。 书籍方面，PHP可以看《PHP和MySQL Web开发》（原书第4版），中文版不错。SQL入门可以看《SQL必知必会》。如果想系统看漏洞原理，推荐《白帽子讲Web安全》。这些书都比较经典，适合零基础到进阶。 最重要的是——别光看书。一定要动手。去搭建本地环境（比如PHPStudy），自己写个简单的留言板、登录系统，然后尝试自己找出漏洞。刚开始看不懂很正常，逐行查，不会就问搜索引擎。 你说“不知道该怎么计划”，其