网络安全小白成长课程调研

之前发了《如何从网络安全小白成为安全专家》后，有一些应届生或者刚入安全行业不久的人私信问我一些问题：1、安全行业值不值得做，能不能赚到钱？2、我有1个甲方和1个乙方offer应该怎么选？3、你之前推荐的学习资源都是文字，有没有视频或者课程？

虽然我后面又发了一篇《学习资源》的文章，但还是有小伙伴觉得无从下手去学。针对以上的问题，我打算开一系列的课程。

第一个阶段：打基础

通过带大家写web漏洞靶场的方式，深入了解漏洞原理以及缓解方案，课程大概在30节课左右，包含的内容：

1、安全行业能赚到钱吗？甲方和乙方的安全工程师的区别及如何选择？

2、渗透和挖漏洞的区别

3、介绍常用的安全工具，提升漏洞挖掘的效率

4、现场开发web漏洞靶场，漏洞原理的讲解和利用，怎么写/怎么设计是安全的，比如身份验证漏洞用双因素认证、SQL注入用预编译或者持久层框架来缓解。有些漏洞是用了危险函数导致，有些是因为软件设计不合理导致，这些都会和大家分享。

2.1 越权
2.2 SQL注入
2.3 CSRF
2.4 条件竞争
2.5 SSRF
2.6 身份认证类逻辑漏洞
2.7 模版注入

这期课程的漏洞就这些，虽然已知的漏洞有很多，但我只想挑选一些经典的、现代化应用中出现频率高的漏洞。

第二个阶段：实战

第一阶段学习完后，可能因为经验不足，同样的目标，别人能拿到权限。一方面是因为渗透不仅仅是通过挖漏洞来获取目标，水坑、鱼叉、近源都是渗透攻击的方式，一条路走不通就换个思路，思维转变一下不要只盯着一个系统看，其他路子可能会柳暗花明。

还有别人都能挖到SRC，为什么我不能？因为你缺乏实战经验，除了对漏洞原理了解以外，其他你一无所知。挖SRC需要耐心和毅力，也需要对目标业务足够的了解。大清早完了，有的人还问我为什么挖不到SQL注入。SQL注入从owasp top 10的第一名下滑到第三名，而不安全的访问控制上升到owasp top10的第一名都是有原因的。时代在发展，技术在发展。很多开发者已经不再使用SQL和参数拼接的方式来执行SQL了。而现在微服务架构，一个软件可能由很多微服务应用拼起来的，这些导致了一些安全问题，最多的就是越权。学会审时度势，不要一根筋挖自己想挖的漏洞，多看看别人是怎么挖的，这个我也会在第二期里讲学习方法。

每个阶段培训费999，如果第一个阶段学了不想学第二个阶段，可以单独购买1个阶段。

课程以直播方式，时间暂定周三晚上、周末在B站直播。

这里先做个调研，如果接受度很低，那就不浪费时间去做课件了。

售后服务：参加培训可以在群里实时问我问题（因为上班可能不会即时回复）

关于我：4年安全公司渗透测试、应急响应经验，4年互联网甲方应用安全、数据安全经验。在各大SRC提过致命、高危漏洞，在甲方参与过很多业务的安全方案设计，熟悉软件安全。

有其他问题，请留言、私信我。