web渗透测试入门要学什么
Web渗透是很多人进入安全行业的起点，方向选得对，但入门的顺序经常走错。有人第一周就下载Burp Suite扫站，有人背了一堆漏洞名词没动过手。这篇把Web渗透入门该学的东西按依赖关系排个序，照着学能少走弯路。
第一样，HTTP协议。Web渗透的一切都建立在HTTP上：请求方法、状态码、请求头响应头、Cookie和Session机制、HTTPS的加密流程。学到什么程度算过关？给你一个登录请求的原始报文，你能逐行说出每一部分的作用，能看懂参数是怎么传的。抓包工具从第一天就用起来，养成看原始流量的习惯。
第二样，基础语法。HTML和JavaScript读到能看懂页面结构和简单的表单校验逻辑就行，重点是知道数据在客户端是怎么被处理和提交的。SQL要花点真功夫，增删改查、联合查询、注释语法，因为SQL注入的整个利用过程就是构造SQL的过程，不懂SQL等于学注入只学了一半。有余力再看看PHP，很多经典漏洞代码都是PHP写的。
第三样，漏洞原理。这是核心部分，按OWASP Top 10的清单逐个突破。建议的顺序：先学SQL注入，它最经典，能把"输入被当成代码执行"这个核心概念吃透；再学XSS，理解浏览器端的攻防；然后CSRF、SSRF、文件上传、文件包含、反序列化、越权访问。每个漏洞的学习闭环是四步：成因是什么、怎么手工构造利用、怎么用工具验证、开发侧怎么修。只学前两步不学后两步，你是个攻击者视角的半吊子；四步都走完，才是企业要的安全工程师。
第四样，工具链。Burp Suite是每天都要用的，代理、抓包、改包、重放，操作要形成肌肉记忆。再加上目录扫描、子域名枚举、SQL注入工具的合理使用。注意立场：工具是效率放大器，不是能力的替代品，面试官问"这个漏洞怎么手工验证"，工具党就卡壳了。
第五样，靶场实操。知识必须落在实操上。入门期用公开练习靶场，进阶后要做有业务逻辑的综合环境，比如带支付、带会员体系的仿真站点，练越权和逻辑漏洞的挖掘——这类漏洞工具扫不出来，只能靠人。润天教育的课程里就配了仿真多业务线靶场，从资产测绘到漏洞利用再到报告输出走全流程，练的就是这个层面的能力。
第六样，法律边界。开始学之前就要搞清楚：未授权测试是违法行为，学习只能在靶场和授权环境下进行，提交漏洞走SRC的合规流程。这不是走过场，是从业底线。
时间预期：每天三到四小时，四个月左右能达到初级Web渗透的上岗水平。入门阶段最忌贪快，协议和基础语法那一个月看似慢，后面漏洞学的速度会证明它值。
