信息安全学习卷起来，内含各种学习资源

先说一下背景，最近我私人博客在做一个学习资源模块。

1、owasp top 10 2021中文版

• 链接:

  https://owasp.org/Top10/zh_CN

• 描述：2021年十大web漏洞归类

• 适合群体：所有安全技术从业者、开发者

• 安全域：应用安全、数据安全

• 推荐指数：🌟🌟🌟🌟🌟

2、portswigger Academy

• 链接：

  https://portswigger.net/web-security

• 描述：burpsuite官方web安全学院，提供了各种漏洞lab、漏洞原理、漏洞利用场景等。

• 适合人群：web安全工程师、软件安全架构师

• 安全域：应用安全

• 推荐指数：🌟🌟🌟🌟🌟🌟

3、PayloadAllThings

• 链接

  https://github.com/swisskyrepo/PayloadsAllTheThings

• 描述：非常好的学习资源，整理了各种web漏洞，包含漏洞原理、如何利用

• 适合人群：web安全工程师、软件安全架构师、渗透测试工程师

• 安全域：应用安全、主机安全、数据安全

• 推荐指数：🌟🌟🌟🌟🌟

4、hackerone hacktivity

• 链接：

  https://hackerone.com/hacktivity/overview

• 描述：一个知名众测平台，和以前国内的wooyun差不多，在甲方处理完漏洞之后，白帽子可以申请披露漏洞详情。你能从上面学到别人是怎么挖漏洞的，有可以统计出大家最喜欢挖的都是什么类型的漏洞，跟着大部队走准没错。我上半年统计出漏洞还是权限控制不当的漏洞最多，所以我最喜欢挖越权漏洞了。。

• 适合人群：白帽子、安全架构师、web安全工程师、渗透测试人员

• 安全域：应用安全

• 推荐指数：🌟🌟🌟🌟🌟

1、hackthebox

• 链接: https://www.hackthebox.com/

• 描述：国外知名漏洞靶场，不仅仅是web安全，靶场提供了练习渗透测试的一切。有可能是web漏洞也有可能是elatstic、skywalking这些中间件漏洞，也有可能是FTP、redis未授权访问，总之不仅仅是软件安全，虽然涉及到各个攻击面的脆弱性，但是缺点是不会细到让你理解其中的漏洞原理，他的作用仅仅是通过一些攻击性工具发现已知脆弱性并加以利用，你无法在上面学习到漏洞的本质。有免费和收费，免费版本可练习机器比较少，线路也不是很稳定。收费也不是很贵，印象中只需要一百多块钱一个月，有亚洲路线。

• 适合群体：渗透测试工程师

• 推荐指数：🌟🌟🌟🌟🌟

2、vulnhub

• 链接：https://vulnhub.com/

• 描述：国外知名漏洞靶场，和hackthebox差不多，不过htb是在线生成靶场，你需要连接vpn到htb靶场网络，而vulnhub是提供一个ova的虚拟机文件，你需要下载到本地用virtualbox打开。免费但需要下载ova大文件，练几个差不多，练习久了本地存储空间都不够用了。

• 适合群体：渗透测试工程师

• 推荐指数：🌟🌟🌟🌟

3、vulhub

• 链接：https://vulhub.org/

• 描述：和vulnhub只有一字之差，但两个完全不是一样的东西。这个vulhub只是一个web漏洞靶场，适合web安全的人练习，而vulnhub是一个综合性靶场，这是两者的区别。vulhub通过docker容器化部署，非常方便，而且免费。

• 适合群体：渗透测试工程师、web安全工程师

• 推荐指数：🌟🌟🌟🌟

4、webgoat

• 链接：http://owasp.org/www-project-webgoat/

• 描述：是一个java web漏洞靶场，由owasp出品，最新版本基于springboot开发，可以通过docker部署。docker search webgoat选使用人数最多的那个。完全免费。

• 适合群体：web安全人员、java开发人员、渗透测试人员

• 推荐指数：🌟🌟🌟🌟🌟

5、try hack me

• 链接：https://tryhackme.com/

• 描述：一个知名靶场，和hackthebox差不多。感觉有点贵，我没用过，用过的人可以留言补充下。

• 适合群体：渗透测试人员、web安全人员

• 推荐指数：🌟🌟🌟

书籍类不提供PDF，请大家自行购买书籍。

2、互联网企业安全高级指南

• 描述：我觉得这是甲方安全人员必看的一本书。以往要么是重方法论，要么是重技术剖析；这本书结合了业务和安全，其中印象最深是讲到”过度安全“这个概念。很多内容都是甲方安全建设过程中实际遇到的问题，比如SDL落地困难、安全投入成本等。本书既有攻击者视角，也有防御视角。涉及内容包括主机安全、网络安全、web安全、数据安全/隐私保护、移动安全、办公网络安全、安全管理体系、业务安全与风控。是一本不可多得的结合理论和实战的甲方安全建设指导书籍。

• 适合人群：甲方安全人员、CSO、CTO

• 推荐指数：🌟🌟🌟🌟🌟